CVE-2026-48614
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Podatność w interfejsie XML API Pleska umożliwia uwierzytelnionemu użytkownikowi wstrzyknięcie dowolnych dyrektyw konfiguracyjnych, co prowadzi do zapisu dowolnych plików jako root i pełnej eskalacji uprawnień na serwerze.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad serwerem, uzyskując uprawnienia roota, co umożliwia modyfikację krytycznych plików systemowych i instalację złośliwego oprogramowania.
Rekomendacja
Należy natychmiast zaktualizować Pleska do najnowszej wersji zawierającej poprawkę oraz ograniczyć dostęp do XML API tylko dla zaufanych użytkowników.
Inne podatności w Plesk
Zobacz wszystkie- CVE-2026-67394Krytyczne
Krytyczna podatność na lokalną eskalację uprawnień przez wstrzyknięcie poleceń systemowych w Plesk dla Linuxa, dotyczy wersji od 18.0.34 do 18.0.79.9 oraz 18.0.80.5. Pozwala klientowi lub resellerowi z dostępem do powłoki na podniesienie uprawnień do konta root na serwerze hostingowym.
- CVE-2026-64639Krytyczne
Nieprawidłowy proces klonowania baz danych w Plesk od wersji 18.0.52 do 18.0.79.6 i 18.0.80.2 umożliwia użytkownikowi z niskimi uprawnieniami (klient, reseller) wykonanie dowolnego kodu w imieniu administratora serwera bazy danych.
- CVE-2026-64637Krytyczne
Nieprawidłowe zarządzanie uprawnieniami w API XML-RPC w Plesk przed wersją 18.0.80 pozwala uwierzytelnionemu resellerowi uzyskać sesję administracyjną dla konta użytkownika root.
- CVE-2026-58046Krytyczne
Niewłaściwa neutralizacja w API XML-RPC Plesk pozwala zdalnemu uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na wykonanie wstrzyknięcia SQL i odczytanie dowolnych danych z bazy danych Plesk, prowadząc do pełnego przejęcia panelu.
- CVE-2026-44962Krytyczne
Plesk zawiera podatność na wstrzykiwanie XPath w funkcji wyszukiwania katalogu aplikacji APS, gdzie dane wejściowe użytkownika są interpolowane do zapytań XPath bez odpowiedniego oczyszczania. Umożliwia to uwierzytelnionemu użytkownikowi z niskimi uprawnieniami wykonanie dowolnych poleceń systemu operacyjnego na serwerze, co prowadzi do eskalacji uprawnień lokalnych.
- CVE-2025-66430Krytyczne
Plesk 18.0 ma nieprawidłową kontrolę dostępu.
- CVE-2026-67397Wysokie
Podatność typu path traversal w Plesk 18.0.79.9 i wcześniejszych oraz 18.0.80 do 18.0.80.5 pozwala lokalnym użytkownikom na wykonanie dowolnego kodu jako root.
- CVE-2026-65647Wysokie
Plesk ma podatność polegającą na nieprawidłowym rozwiązywaniu dowiązań symbolicznych przed dostępem do plików, co pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu jako root.
- CVE-2026-65646Wysokie
Plesk ma podatność polegającą na nieprawidłowej neutralizacji specjalnych elementów, co pozwala zdalnym uwierzytelnionym użytkownikom na ujawnienie dowolnych plików lokalnych i eskalację uprawnień.
- CVE-2026-65642Wysokie
Plesk w wersjach 18.0.79.7 i wcześniejszych oraz 18.0.80 do 18.0.80.3 ma podatność polegającą na niebezpiecznym bezpośrednim odwołaniu do obiektu, co pozwala zdalnym uwierzytelnionym użytkownikom na odczyt i modyfikację baz danych innych klientów.
Oryginalny opis (angielski, źródło NVD)
An improper authorization vulnerability in the Plesk XML API allows an authenticated user to inject arbitrary configuration directives, resulting in arbitrary file write as root and full privilege escalation on the underlying server.