CVE-2026-108390 in Hestia Control Panel
Zusammenfassung
von VulDB • 14.10.2026
Hestia Control Panel ist ein leichtgewichtiges und leistungsstarkes Kontrollfeld für das moderne Web. Von der Version 1.9.7 bis zur Version 1.10.4 wird die Funktion `update_object_value()` in `func/main.sh` keine einfachen Anführungszeichen beim Schreiben eines benutzerdefinierten document-root-Werts in die Datei web.conf des Benutzers escapen, was einem authentifizierten Panel-Benutzer mit niedrigen Berechtigungen und einer Web-Domain ermöglicht, ein zusätzliches PATH-Feld zu injizieren. Wenn der Benutzer die normale Suchfunktion aufruft, lädt das skript v-search-user-object mit Root-Rechten das gefälschte Feld durch `parse_object_kv_list_non_eval()`, was reservierte Shell-Variablennamen zulässt und PATH global ersetzt, bevor column ohne absoluten Pfad aufgerufen wird. Durch Platzieren einer bösartigen column-Executable in dem injizierten Suchpfad kann der Benutzer beliebigen Code als Root ausführen. Diese Rest-Schwachstelle wurde eingeführt, als Version 1.9.7 den rohen eval sink ersetzte, der durch CVE-2026-84984 behoben wurde, mit `parse_object_kv_list_non_eval()`, und sie ist in Version 1.10.5 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.