CVE-2026-64639
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Nieprawidłowy proces klonowania baz danych w Plesk od wersji 18.0.52 do 18.0.79.6 i 18.0.80.2 umożliwia użytkownikowi z niskimi uprawnieniami (klient, reseller) wykonanie dowolnego kodu w imieniu administratora serwera bazy danych.
Ocena ryzyka
Osoba z ograniczonymi uprawnieniami może uzyskać pełną kontrolę nad serwerem bazy danych, co może prowadzić do naruszenia integralności i poufności danych.
Rekomendacja
Zaktualizuj Plesk do wersji 18.0.79.6 lub 18.0.80.2, które zawierają poprawkę.
Inne podatności w Plesk
Zobacz wszystkie- CVE-2026-87898Krytyczne
Podatność na wstrzykiwanie poleceń systemu operacyjnego w Plesk pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu z uprawnieniami roota.
- CVE-2026-68488Krytyczne
Warunek wyścigu typu Time-of-check Time-of-use (TOCTOU) prowadzący do niebezpiecznego podążania za dowiązaniami symbolicznymi w Plesk umożliwia lokalną eskalację uprawnień do roota poprzez przejęcie własności dowolnego pliku lub katalogu.
- CVE-2026-68487Krytyczne
Podatność typu path traversal w Menedżerze kopii zapasowych Plesk umożliwia uwierzytelnionemu klientowi zapis dowolnych plików z uprawnieniami roota.
- CVE-2026-67394Krytyczne
Krytyczna podatność na lokalną eskalację uprawnień przez wstrzyknięcie poleceń systemowych w Plesk dla Linuxa, dotyczy wersji od 18.0.34 do 18.0.79.9 oraz 18.0.80.5. Pozwala klientowi lub resellerowi z dostępem do powłoki na podniesienie uprawnień do konta root na serwerze hostingowym.
- CVE-2026-65646Krytyczne
W funkcjonalności zarządzania strefami DNS w Plesku występuje niewłaściwa neutralizacja elementów specjalnych. Uwierzytelniony zdalny użytkownik może ujawnić dowolne pliki lokalne i podnieść uprawnienia.
- CVE-2026-64637Krytyczne
Nieprawidłowe zarządzanie uprawnieniami w API XML-RPC w Plesk przed wersją 18.0.80 pozwala uwierzytelnionemu resellerowi uzyskać sesję administracyjną dla konta użytkownika root.
- CVE-2026-58046Krytyczne
Niewłaściwa neutralizacja w API XML-RPC Plesk pozwala zdalnemu uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na wykonanie wstrzyknięcia SQL i odczytanie dowolnych danych z bazy danych Plesk, prowadząc do pełnego przejęcia panelu.
- CVE-2026-48614Krytyczne
Podatność w interfejsie XML API Pleska umożliwia uwierzytelnionemu użytkownikowi wstrzyknięcie dowolnych dyrektyw konfiguracyjnych, co prowadzi do zapisu dowolnych plików jako root i pełnej eskalacji uprawnień na serwerze.
- CVE-2026-44962Krytyczne
Plesk zawiera podatność na wstrzykiwanie XPath w funkcji wyszukiwania katalogu aplikacji APS, gdzie dane wejściowe użytkownika są interpolowane do zapytań XPath bez odpowiedniego oczyszczania. Umożliwia to uwierzytelnionemu użytkownikowi z niskimi uprawnieniami wykonanie dowolnych poleceń systemu operacyjnego na serwerze, co prowadzi do eskalacji uprawnień lokalnych.
- CVE-2025-66430Krytyczne
Plesk 18.0 ma nieprawidłową kontrolę dostępu.
Oryginalny opis (angielski, źródło NVD)
Incorrect database cloning process in Plesk from 18.0.52 before 18.0.79.6 and 18.0.80.2 allows a low-privileged user (customer, reseller) to execute arbitrary code on behalf of the database server administrator.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS