CVE-2026-56843
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność w WebPros Plesk przed wersją 18.0.78.4 umożliwia niskouprzywilejowanemu, uwierzytelnionemu klientowi przeglądanie domen, których nie jest właścicielem. Dzieje się tak z powodu nieprawidłowej autoryzacji w API XML-RPC, gdzie własność jest wymuszana tylko dla niektórych filtrów wyszukiwania, a walidacja schematu jest pomijana dla starszych wersji protokołu.
Ocena ryzyka
Ryzyko polega na ujawnieniu poświadczeń FTP innych najemców przechowywanych w czystym tekście, co może zostać wykorzystane do wykonania kodu jako użytkownik systemowy innego najemcy, prowadząc do naruszenia izolacji między najemcami.
Rekomendacja
Zaleca się natychmiastową aktualizację WebPros Plesk do wersji 18.0.78.4 lub nowszej, która zawiera poprawkę dla tej podatności.
Oryginalny opis (angielski, źródło NVD)
Incorrect authorization in the XML-RPC API of WebPros Plesk before 18.0.78.4 allows a low-privileged authenticated customer to look up domains they do not own, because ownership is enforced only for certain lookup filters and schema validation is bypassed for legacy protocol versions. This results in cross-tenant disclosure of other tenants' FTP credentials stored in cleartext, which can be leveraged to execute code as another tenant's system user.