CVE-2025-30007
Təsvir
HestiaCP 1.9.5-dən əvvəlki versiyalarda autentifikasiyadan keçmiş istifadəçilər üçün OS əmr inyeksiyası zəifliyi mövcuddur ki, bu da aşağı imtiyazlı autentifikasiyadan keçmiş istifadəçilərə validasiya olunmamış DNS qeyd növlərinə tək dırnaq simvolu yeritməklə root kimi ixtiyari əmrləri icra etməyə imkan verir. Hücumçular is_dns_record_format_valid() funksiyasında kifayətsiz giriş validasiyasından və update_domain_zone() funksiyasında təhlükəli eval əsaslı analizdən istifadə edərək dəyişən təyinat sətrini vaxtından əvvəl bağlaya və bir DNS qeydinin yaradılması addımında əsas hostda tam root kod icrasına nail ola bilərlər.
Necə düzəltmək olar
- hestiacp control_panel1.9.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| hestiacp control_panel | v < 1.9.5 | 1.9.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.