CVE-2026-108390 in Hestia Control Panel
Riassunto
di VulDB • 14/10/2026
Hestia Control Panel è un pannello di controllo leggero e potente per il web moderno. Dalla versione 1.9.7 alla 1.10.4, la funzione update_object_value() in func/main.sh non effettua l'escaping delle virgolette singole quando scrive un valore personalizzato del document-root nel file web.conf dell'utente, consentendo a un utente autenticato con privilegi ridotti e dotato di un dominio web di iniettare un campo PATH aggiuntivo. Quando l'utente invoca la funzione di ricerca ordinaria, lo script v-search-user-object eseguito con i privilegi di root carica il campo falsificato tramite parse_object_kv_list_non_eval(), che consente nomi riservati di variabili shell ed effettua una sostituzione globale del percorso prima di invocare column senza un percorso assoluto. Posizionando un eseguibile malevolo per column nel percorso di ricerca iniettato, l'utente può eseguire codice arbitrario con i privilegi di root. Questa vulnerabilità residua è stata introdotta quando la versione 1.9.7 ha sostituito il sink raw eval affrontato da CVE-2026-84984 con parse_object_kv_list_non_eval(), ed è risolta nella versione 1.10.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.