CVE-2026-68492
WysokieCVSS 8.7Streszczenie
Podatność typu untrusted search path w Plesk od wersji 18.0.34 przed 18.0.80.8 oraz od 18.0.81 przed 18.0.81.1 pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu jako root poprzez rozszerzenie "Plesk RESTful API" od wersji 2.4.2 przed 2.4.7.
Ocena ryzyka
Uwierzytelniony atakujący może uzyskać pełną kontrolę nad serwerem jako root, co prowadzi do całkowitego przejęcia systemu i naruszenia danych.
Rekomendacja
Zaktualizuj Plesk do wersji 18.0.80.8 lub 18.0.81.1 (lub nowszej) oraz rozszerzenie Plesk RESTful API do wersji 2.4.7 lub nowszej.
Inne podatności w Plesk
Zobacz wszystkie- CVE-2026-87898Krytyczne
Podatność na wstrzykiwanie poleceń systemu operacyjnego w Plesk pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu z uprawnieniami roota.
- CVE-2026-68488Krytyczne
Warunek wyścigu typu Time-of-check Time-of-use (TOCTOU) prowadzący do niebezpiecznego podążania za dowiązaniami symbolicznymi w Plesk umożliwia lokalną eskalację uprawnień do roota poprzez przejęcie własności dowolnego pliku lub katalogu.
- CVE-2026-68487Krytyczne
Podatność typu path traversal w Menedżerze kopii zapasowych Plesk umożliwia uwierzytelnionemu klientowi zapis dowolnych plików z uprawnieniami roota.
- CVE-2026-67394Krytyczne
Krytyczna podatność na lokalną eskalację uprawnień przez wstrzyknięcie poleceń systemowych w Plesk dla Linuxa, dotyczy wersji od 18.0.34 do 18.0.79.9 oraz 18.0.80.5. Pozwala klientowi lub resellerowi z dostępem do powłoki na podniesienie uprawnień do konta root na serwerze hostingowym.
- CVE-2026-65646Krytyczne
W funkcjonalności zarządzania strefami DNS w Plesku występuje niewłaściwa neutralizacja elementów specjalnych. Uwierzytelniony zdalny użytkownik może ujawnić dowolne pliki lokalne i podnieść uprawnienia.
- CVE-2026-64639Krytyczne
Nieprawidłowy proces klonowania baz danych w Plesk od wersji 18.0.52 do 18.0.79.6 i 18.0.80.2 umożliwia użytkownikowi z niskimi uprawnieniami (klient, reseller) wykonanie dowolnego kodu w imieniu administratora serwera bazy danych.
- CVE-2026-64637Krytyczne
Nieprawidłowe zarządzanie uprawnieniami w API XML-RPC w Plesk przed wersją 18.0.80 pozwala uwierzytelnionemu resellerowi uzyskać sesję administracyjną dla konta użytkownika root.
- CVE-2026-58046Krytyczne
Niewłaściwa neutralizacja w API XML-RPC Plesk pozwala zdalnemu uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na wykonanie wstrzyknięcia SQL i odczytanie dowolnych danych z bazy danych Plesk, prowadząc do pełnego przejęcia panelu.
- CVE-2026-48614Krytyczne
Podatność w interfejsie XML API Pleska umożliwia uwierzytelnionemu użytkownikowi wstrzyknięcie dowolnych dyrektyw konfiguracyjnych, co prowadzi do zapisu dowolnych plików jako root i pełnej eskalacji uprawnień na serwerze.
- CVE-2026-44962Krytyczne
Plesk zawiera podatność na wstrzykiwanie XPath w funkcji wyszukiwania katalogu aplikacji APS, gdzie dane wejściowe użytkownika są interpolowane do zapytań XPath bez odpowiedniego oczyszczania. Umożliwia to uwierzytelnionemu użytkownikowi z niskimi uprawnieniami wykonanie dowolnych poleceń systemu operacyjnego na serwerze, co prowadzi do eskalacji uprawnień lokalnych.
Oryginalny opis (angielski, źródło NVD)
An untrusted search path vulnerability in Plesk from 18.0.34 before 18.0.80.8 and 18.0.81 before 18.0.81.1 allows remote authenticated users to execute arbitrary code as root via the "Plesk RESTful API" extension from 2.4.2 before 2.4.7.