HestiaCP: Autorisierungsumgehung ermöglicht Identitätswechsel zum geschützten Admin über Cron-Jobs

Zusammenfassung

HestiaCP vor Version 1.10.5 enthält eine Autorisierungsumgehung im Endpunkt zur Erstellung von Cron-Jobs. Ein Administrator ohne Root-Rechte, der sich über den Parameter loginas anmeldet, kann per POST an /add/cron/ Befehle absetzen, weil das Read-only-Flag für das geschützte ROOT_USER-Konto nicht geprüft wird. Cron-Befehle laufen dann unter dem Systemkonto des geschützten Administrators. Ein Angreifer benötigt einen bestehenden Admin-Login im Panel, daher ist die Lücke nicht ohne vorherige Authentifizierung ausnutzbar.

Betroffen

• HestiaCP-Versionen vor 1.10.5 (betroffener Bereich laut CVE-Eintrag 0 bis < 1.10.5)

Behoben in

• Behoben in HestiaCP 1.10.5
• Herstellerhinweis: GHSA-vp7q-fjv5-5vg8 (Angabe zur gepatchten Version nicht verifiziert)

Umgehung

• Unbekannt.
• Übergangsmassnahme: Admin-Konten im Panel auf vertrauenswürdige Personen beschränken.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Die CISA-SSVC-Daten im CVE-Eintrag führen die Ausnutzung als PoC, die Automatisierbarkeit als nein.
• Ein öffentlicher Proof-of-Concept-Verweis ist in Drittquellen markiert; der Inhalt wurde nicht geprüft.
• Nicht im CISA-KEV-Katalog gelistet (laut Strix).

Unsere Empfehlung

• HestiaCP auf Version 1.10.5 oder neuer im nächsten Wartungsfenster aktualisieren.
• Admin-Konten prüfen und nicht benötigte entfernen.
• Cron-Jobs auf betroffenen Servern auf unerwartete Einträge prüfen, insbesondere solche, die unter dem Systemkonto des Root-Benutzers laufen.
• Panel-Logs auf Anmeldungen über loginas und POST-Anfragen an /add/cron/ überwachen.
• Hinweis: CVSS 4.0 bewertet die Lücke mit 8.6 (hoch), der Hersteller mit Moderat; die Priorität nach der Anzahl der Personen mit Admin-Rollen festlegen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-vp7q-fjv5-5vg8 github.com
• HestiaCP 1.10.5 release github.com
• Fix commit 1af7e057 github.com
• VulnCheck advisory www.vulncheck.com
• Vulnerable cron controller at 1.10.4 github.com
• Vulnerable policy logic at 1.10.4 github.com
• HestiaCP security policy github.com
• OpenCVE record CVE-2026-111627 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:52.