CVE-2026-111627

Nome do Software Vulnerável e Versões Afetadas HestiaCP versões anteriores a 1.10.5

Description Uma falha de bypass de autorização permite que administradores que não sejam o ROOT USER realizem ações de escrita ao personificar a conta protegida ROOT USER. Isso ocorre porque a flag de apenas leitura não é verificada quando um usuário faz login através do parâmetro loginas e envia uma requisição POST para o endpoint '/add/cron/'. Consequentemente, o serviço crond executa os comandos sob a conta de sistema do administrador protegido.

Recommendations Atualize o HestiaCP para a versão 1.10.5 ou posterior. Evite usar o parâmetro loginas para acessar o endpoint '/add/cron/' até que a atualização seja aplicada.