CVE-2026-44962 — Plesk: APS Application Catalog arama işlevinde kullanıcı tarafından sağlanan girdinin uygun şekilde temizlenmeden XPath sorgularına yerleştirilmesi sonucu oluşan bir XPath enjeksiyon zafiyeti
Plesk, APS Application Catalog arama işlevinde kullanıcı tarafından sağlanan girdinin uygun şekilde temizlenmeden XPath sorgularına yerleştirilmesine yol açan bir XPath enjeksiyon zafiyeti içeriyor. Bu, kimliği doğrulanmış, düşük ayrıcalıklı bir kullanıcının sunucuda rastgele işletim sistemi komutları çalıştırmasına ve sonuçta yerel ayrıcalık yükseltmesine olanak tanır.
Platform
Plesk
CVE Kaydı
CVE-2026-44962
CVSS Skoru
9.9/10
Yayın Tarihi
29 Mayıs 2026
Okunma
15
Birincil kaynak: Kaynaktaki resmî duyuruyu inceleyin: nvd.nist.gov
Kaynağa Git
Özet
Plesk, APS Application Catalog arama işlevinde kullanıcı tarafından sağlanan girdinin uygun şekilde temizlenmeden XPath sorgularına yerleştirilmesine yol açan bir XPath enjeksiyon zafiyeti içeriyor. Bu, kimliği doğrulanmış, düşük ayrıcalıklı bir kullanıcının sunucuda rastgele işletim sistemi komutları çalıştırmasına ve sonuçta yerel ayrıcalık yükseltmesine olanak tanır.
Plesk eklentilerinde "Ruby" before 1.6.6 ve "Node.js Toolkit" before 2.5.0 içinde Statik Kod Enjeksiyonu, uzak doğrulanmış kullanıcıların özel ortam değişkenleri aracılığıyla root olarak keyfi kod çalıştırmasına izin veriyor.
Plesk'te özel öğelerin uygun şekilde etkisizleştirilmemesi, uzaktan kimlik doğrulaması yapılmış kullanıcıların rastgele yerel dosyaları ifşa etmelerine ve ayrıcalıkları yükseltmelerine olanak tanır.
Plesk'te dosya erişiminden önce sembolik bağlantıların hatalı çözülmesi, uzaktan kimlik doğrulanmış kullanıcıların root olarak keyfi kod çalıştırmasına izin verir.