CVE-2025-30008
Açıklama
1.9.5 öncesindeki HestiaCP, kimliği doğrulanmış düşük yetkili kullanıcıların, değer alanında bir çift tırnak ve ardından gelen bir betik yükü ile DNS kaydı oluşturarak rastgele HTML enjekte etmelerine olanak tanıyan saklı bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Uygulama, list_dns_rec.php dosyasındaki data-sort-value HTML özniteliğine aktarılan DNS kaydı değer alanına htmlspecialchars() kodlamasını uygulamada başarısız olur; bu durum, yükün yöneticiler dahil DNS kayıt listesini görüntüleyen herhangi bir kullanıcının tarayıcısında çalıştırılmasına izin verir.
Nasıl düzeltilir
- hestiacp control_panel1.9.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| hestiacp control_panel | v < 1.9.5 | 1.9.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.