CVE-2026-67394
KrytyczneCVSS 9.0Streszczenie
Krytyczna podatność na lokalną eskalację uprawnień przez wstrzyknięcie poleceń systemowych w Plesk dla Linuxa, dotyczy wersji od 18.0.34 do 18.0.79.9 oraz 18.0.80.5. Pozwala klientowi lub resellerowi z dostępem do powłoki na podniesienie uprawnień do konta root na serwerze hostingowym.
Ocena ryzyka
Osoba z ograniczonym dostępem do powłoki może uzyskać pełną kontrolę nad serwerem, co prowadzi do całkowitej kompromitacji hostingu i wszystkich kont na nim.
Rekomendacja
Zaktualizuj Plesk do wersji 18.0.79.9 lub nowszej (lub 18.0.80.5 i nowszej). Ogranicz dostęp do powłoki dla klientów i resellerów, jeśli to możliwe.
Inne podatności w Plesk
Zobacz wszystkie- CVE-2026-64639Krytyczne
Nieprawidłowy proces klonowania baz danych w Plesk od wersji 18.0.52 do 18.0.79.6 i 18.0.80.2 umożliwia użytkownikowi z niskimi uprawnieniami (klient, reseller) wykonanie dowolnego kodu w imieniu administratora serwera bazy danych.
- CVE-2026-64637Krytyczne
Nieprawidłowe zarządzanie uprawnieniami w API XML-RPC w Plesk przed wersją 18.0.80 pozwala uwierzytelnionemu resellerowi uzyskać sesję administracyjną dla konta użytkownika root.
- CVE-2026-58046Krytyczne
Niewłaściwa neutralizacja w API XML-RPC Plesk pozwala zdalnemu uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na wykonanie wstrzyknięcia SQL i odczytanie dowolnych danych z bazy danych Plesk, prowadząc do pełnego przejęcia panelu.
- CVE-2026-48614Krytyczne
Podatność w interfejsie XML API Pleska umożliwia uwierzytelnionemu użytkownikowi wstrzyknięcie dowolnych dyrektyw konfiguracyjnych, co prowadzi do zapisu dowolnych plików jako root i pełnej eskalacji uprawnień na serwerze.
- CVE-2026-44962Krytyczne
Plesk zawiera podatność na wstrzykiwanie XPath w funkcji wyszukiwania katalogu aplikacji APS, gdzie dane wejściowe użytkownika są interpolowane do zapytań XPath bez odpowiedniego oczyszczania. Umożliwia to uwierzytelnionemu użytkownikowi z niskimi uprawnieniami wykonanie dowolnych poleceń systemu operacyjnego na serwerze, co prowadzi do eskalacji uprawnień lokalnych.
- CVE-2025-66430Krytyczne
Plesk 18.0 ma nieprawidłową kontrolę dostępu.
- CVE-2026-65647Wysokie
Plesk ma podatność polegającą na nieprawidłowym rozwiązywaniu dowiązań symbolicznych przed dostępem do plików, co pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu jako root.
- CVE-2026-65646Wysokie
Plesk ma podatność polegającą na nieprawidłowej neutralizacji specjalnych elementów, co pozwala zdalnym uwierzytelnionym użytkownikom na ujawnienie dowolnych plików lokalnych i eskalację uprawnień.
- CVE-2026-65642Wysokie
Plesk w wersjach 18.0.79.7 i wcześniejszych oraz 18.0.80 do 18.0.80.3 ma podatność polegającą na niebezpiecznym bezpośrednim odwołaniu do obiektu, co pozwala zdalnym uwierzytelnionym użytkownikom na odczyt i modyfikację baz danych innych klientów.
Oryginalny opis (angielski, źródło NVD)
A critical local privilege escalation via OS command injection vulnerability has been discovered in Plesk for Linux, affecting all versions from 18.0.34 before 18.0.79.9 and 18.0.80.5. The vulnerability allows a customer or reseller with shell access (or allowed to change their own shell access) to elevate privileges to the root account on the hosting server.