CVE-2026-108390

Nome do Software Vulnerável e Versões Afetadas Hestia Control Panel versões 1.9.7 through 1.10.4

Description Um usuário autenticado de baixo privilégio com um domínio web pode executar código arbitrário como root. O problema ocorre porque a função update object value() em func/main.sh não escapa aspas simples ao gravar um valor de document-root personalizado no arquivo web.conf do usuário, permitindo a injeção de um campo PATH adicional. Quando o recurso de Busca é utilizado, o script v-search-user-object com privilégios de root carrega esse campo forjado através de parse object kv list non eval(), que permite nomes de variáveis de shell reservadas e substitui globalmente o PATH antes de invocar o comando column sem um caminho absoluto. Um invasor pode explorar isso colocando um executável column malicioso no caminho de busca injetado.

Recommendations Atualizar para a versão 1.10.5.