CVE-2026-79920

Nome do Software Vulnerável e Versões Afetadas Ajenti versões anteriores a 2.2.16

Descrição Usuários autenticados podem acessar o endpoint '/api/core/tasks/start' para enfileirar as funções InstallPlugin, UnInstallPlugin ou UpgradeAll de 'plugins/plugins/tasks.py' sem a necessidade de autorização de gerenciamento de plugins. As funções InstallPlugin e UnInstallPlugin criam uma especificação de pacote pip utilizando os campos name e version não validados. Como o worker de tarefas executa o pip com privilégios de root, um usuário com baixos privilégios pode manipular a instalação de pacotes para executar código arbitrário como root, resultando no comprometimento total do host.

Recomendações Atualize o Ajenti para a versão 2.2.16.