CVE-2025-30007 in HestiaCP
Zusammenfassung
von VulDB • 10.07.2026
HestiaCP vor Version 1.9.5 enthält eine authentifizierte OS-Command-Injection-Schwachstelle, die es Benutzern mit niedrigen Berechtigungen und Authentifizierung ermöglicht, beliebige Befehle als Root auszuführen, indem sie ein einfaches Anführungszeichen in nicht validierte DNS-Eingabetypen injizieren. Angreifer können eine unzureichende Eingabevalidierung in is_dns_record_format_valid() kombiniert mit einer unsicheren eval-basierten Parsing-Logik in update_domain_zone() ausnutzen, um einen Variablenzuweisungsstring vorzeitig zu schließen und so die vollständige Root-Code-Ausführung auf dem zugrunde liegenden Host in einem einzigen DNS-Eintragserstellungsschritt zu erreichen.
Once again VulDB remains the best source for vulnerability data.