Plataforma
php
Componente
hestiacp
Corregido en
1.5.11
Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) reflejado en el panel de control HestiaCP, afectando a versiones anteriores a 1.5.11. Esta vulnerabilidad permite a un atacante inyectar código JavaScript malicioso en las páginas web vistas por otros usuarios. La actualización a la versión 1.5.11 soluciona esta vulnerabilidad y es altamente recomendada.
Un atacante podría explotar esta vulnerabilidad para ejecutar código JavaScript arbitrario en el navegador de un usuario legítimo. Esto podría resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos, o la modificación del contenido de la página web. El impacto se amplifica si el atacante puede comprometer cuentas de administrador, permitiéndole tomar control total del panel de control HestiaCP y, potencialmente, de los servidores gestionados. Aunque la severidad es baja según CVSS, la facilidad de explotación y el potencial impacto en la confidencialidad y la integridad de los datos hacen que esta vulnerabilidad sea significativa.
La vulnerabilidad fue publicada el 16 de marzo de 2022. No se ha reportado explotación activa en campañas dirigidas, pero la naturaleza reflejada de la XSS la hace relativamente fácil de explotar. No se encuentra en el KEV de CISA. Se recomienda aplicar la actualización lo antes posible debido a la facilidad de explotación.
Organizations using HestiaCP control panel versions prior to 1.5.11 are at risk. This includes web hosting providers using HestiaCP to manage client accounts, and businesses relying on HestiaCP for their web server administration.
• php / web:
curl -I 'https://your-hestiacp-domain.com/?param=<script>alert(1)</script>' | grep Content-Type• generic web: Check HestiaCP access logs for unusual URL parameters containing script tags or JavaScript code. • generic web: Use a WAF to monitor for XSS attack patterns targeting HestiaCP.
disclosure
Estado del Exploit
EPSS
0.33% (56% percentil)
Vector CVSS
La mitigación principal es actualizar HestiaCP a la versión 1.5.11 o superior. Si la actualización causa problemas de compatibilidad, considere realizar una copia de seguridad completa antes de actualizar y probar la nueva versión en un entorno de pruebas. Como medida temporal, se pueden implementar reglas en un Web Application Firewall (WAF) para filtrar solicitudes que contengan código JavaScript sospechoso. Monitorear los logs del servidor en busca de patrones de inyección de código también puede ayudar a detectar intentos de explotación.
Actualice HestiaCP a la versión 1.5.11 o superior. Esta versión contiene la corrección para la vulnerabilidad XSS reflejada. La actualización se puede realizar a través del panel de control de HestiaCP o mediante la línea de comandos.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2022-0986 is a reflected Cross-Site Scripting (XSS) vulnerability affecting HestiaCP versions prior to 1.5.11, allowing attackers to inject malicious scripts.
You are affected if you are using HestiaCP version 1.5.11 or earlier. Upgrade to 1.5.11 to resolve the vulnerability.
Upgrade HestiaCP to version 1.5.11 or later. Consider input validation and output encoding as additional security measures.
No active exploitation campaigns have been reported at this time, but vigilance is still recommended.
Refer to the official HestiaCP security advisory for details: https://docs.hestiacp.com/security/security-advisories/
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.