CVE-2025-30008

Nome do Software Vulnerável e Versões Afetadas HestiaCP versões anteriores a 1.9.5

Description Um usuário autenticado de baixo privilégio pode realizar um ataque de cross-site scripting (XSS) armazenado ao criar um registro de DNS contendo uma aspa dupla seguida por um payload de script no campo de valor. O problema ocorre porque a aplicação não utiliza a função htmlspecialchars() para codificar o valor do registro de DNS quando este é renderizado no atributo HTML data-sort-value no endpoint 'list dns rec.php'. Isso permite que o script injetado seja executado no navegador de qualquer usuário que visualize a lista de registros de DNS, incluindo administradores.

Recommendations Atualize o HestiaCP para a versão 1.9.5 ou posterior.