CVE-2026-43633 in HestiaCP
Zusammenfassung
von VulDB • 20.05.2026
In den Versionen 1.9.0 bis 1.9.4 von HestiaCP befindet sich in der Web-Terminal-Komponente eine Deserialisierungsanfälligkeit, die durch ein Formatinkonsistenz zwischen PHP und Node.js verursacht wird. Diese Schwachstelle ermöglicht es nicht authentifizierten, entfernten Angreifern, eine Codeausführung auf Root-Ebene durchzuführen. Angreifer können manipulierte Daten in HTTP-Header injizieren, die vom PHP-Sessions-Handler verarbeitet, aber von der Node.js-Web-Terminal-Komponente fälschlicherweise als vertrauenswürdige Session-Werte deserialisiert werden, was zu einer beliebigen Befehlsausführung auf Systemen mit aktivierter Web-Terminal-Funktion führt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.