Webpros cPanel & WHM: Gespeichertes Cross-Site-Scripting in Manage SSL Hosts

Zusammenfassung

Gespeichertes Cross-Site-Scripting (XSS) im Interface Manage SSL Hosts von cPanel & WHM und WP Squared. Laut CVE-Eintrag ermöglicht die Schwachstelle die Ausführung beliebigen Codes. Ein Angreifer mit einem WHM-Konto mit niedrigen Rechten und einer Benutzerinteraktion, beispielsweise einem Administrator, der eine präparierte Seite öffnet, könnte vom Angreifer kontrolliertes Skript in der administrativen Sitzung ausführen. CISA bewertet die technischen Auswirkungen als total, jedoch sind laut SSVC weder Ausnutzung noch ein automatisierbarer Angriffsweg bekannt.

Betroffen

• cPanel & WHM Builds vor 11.110.0.148
• cPanel & WHM Builds vor 11.134.0.61
• cPanel & WHM Builds vor 11.136.0.45
• cPanel & WHM Builds vor 11.138.0.11
• WP Squared Builds vor 11.138.1.13
• Andere Branches: Unbekannt. Installierten Build anhand des Herstellerhinweises prüfen.

Behoben in

• cPanel & WHM 11.110.0.148, 11.134.0.61, 11.136.0.45 und 11.138.0.11 (oder neuere Builds desselben Branches)
• WP Squared 11.138.1.13 (oder neuer)
• Veröffentlicht am 2026-09-29 als gezielte Sicherheitsaktualisierung, laut cPanel-Changelogs.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden; ein Patch ist laut den Quellen die einzige Abhilfe.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC: Exploitation none, Automatable no.
• Herstellerangabe zur Sicherheitsaktualisierung vom September 2026: keine bekannten öffentlichen Exploits oder Proof-of-Concept-Code (möglicherweise nicht aktuell).

Unsere Empfehlung

• cPanel & WHM und WP Squared auf die oben genannten Builds aktualisieren.
• Installierten Build anhand des cPanel-Hinweises prüfen, da die Quellen bei der Versionsnummerierung widersprüchlich sind.
• WHM-Administrationssitzungen und Zugriffsprotokolle rund um das Patch-Datum prüfen, insbesondere POST-Anfragen an Manage-SSL-Hosts-Endpunkte gefolgt von ungewöhnlichen administrativen API-Aufrufen.
• WHM-Zugriff auf vertrauenswürdige Netze beschränken und die Anzahl der Konten mit WHM-Berechtigungen reduzieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• cPanel Security advisory CVE-2026-93029 support.cpanel.net
• cPanel 110 Change Log docs.cpanel.net
• cPanel 134 Change Log docs.cpanel.net
• cPanel 136 Change Log docs.cpanel.net
• cPanel 138 Change Log docs.cpanel.net
• WP Squared Changelog docs.wpsquared.com
• HackerOne report hackerone.com
• SentinelOne vulnerability database entry www.sentinelone.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:16.