CVE-2026-44962
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Plesk zawiera podatność na wstrzykiwanie XPath w funkcji wyszukiwania katalogu aplikacji APS, gdzie dane wejściowe użytkownika są interpolowane do zapytań XPath bez odpowiedniego oczyszczania. Umożliwia to uwierzytelnionemu użytkownikowi z niskimi uprawnieniami wykonanie dowolnych poleceń systemu operacyjnego na serwerze, co prowadzi do eskalacji uprawnień lokalnych.
Ocena ryzyka
Ryzyko polega na tym, że atakujący z niskimi uprawnieniami może przejąć kontrolę nad serwerem, wykonując dowolne polecenia, co może prowadzić do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Plesk do najnowszej wersji, która zawiera poprawkę eliminującą podatność na wstrzykiwanie XPath. Należy również ograniczyć dostęp do funkcji wyszukiwania katalogu aplikacji APS tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Plesk contains an XPath injection vulnerability in the APS Application Catalog search functionality, where user-supplied input is interpolated into XPath queries without proper sanitization. This allows an authenticated, low-privileged user to execute arbitrary operating system commands on the server, resulting in local privilege escalation.