Descripción
Hestia Control Panel es un panel de control ligero y potente para la web moderna. Desde la versión 1.9.7 hasta la 1.10.4, update_object_value() en func/main.sh no escapa las comillas simples al escribir un valor personalizado de document-root en el archivo web.conf de un usuario, lo que permite que un usuario autenticado del panel con privilegios bajos y con un dominio web inyecte un campo PATH adicional. Cuando el usuario invoca la función Search habitual, el script v-search-user-object, que se ejecuta con privilegios de root, carga el campo falsificado mediante parse_object_kv_list_non_eval(), que permite nombres reservados de variables de shell y reemplaza globalmente PATH antes de invocar column sin una ruta absoluta. Al colocar un ejecutable column malicioso en la ruta de búsqueda inyectada, el usuario puede ejecutar código arbitrario como root. Esta vulnerabilidad residual se introdujo cuando la versión 1.9.7 reemplazó el sink de eval directo abordado por CVE-2026-84984 con parse_object_kv_list_non_eval(), y está corregida en la versión 1.10.5.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- hestiacp Afectadas: >= 1.9.7, < 1.10.5
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/hestiacp/hestiacp/security/advisories/GHSA-r9q4-pmcm-5qqf
- Referencia en github.comgithub.com/hestiacp/hestiacp/commit/4d86018660f35a1d64a0ae819bc5ee700…
- Referencia en ravindulakmina.pages.devravindulakmina.pages.dev/advisories/cve-2026-108390-hestiacp-apostrop…
Ver el texto original en inglés (CVE.org)
HestiaCP Low-Privileged User to Root via Config-Field Injection and PATH Hijacking
Hestia Control Panel is a lightweight and powerful control panel for the modern web. From version 1.9.7 through 1.10.4, update_object_value() in func/main.sh does not escape single quotes when writing a custom document-root value to a user's web.conf file, allowing a low-privileged authenticated panel user with a web domain to inject an additional PATH field. When the user invokes the ordinary Search feature, the root-privileged v-search-user-object script loads the forged field through parse_object_kv_list_non_eval(), which permits reserved shell-variable names and globally replaces PATH before invoking column without an absolute path. By placing a malicious column executable in the injected search path, the user can execute arbitrary code as root. This residual vulnerability was introduced when version 1.9.7 replaced the raw eval sink addressed by CVE-2026-84984 with parse_object_kv_list_non_eval(), and it is fixed in version 1.10.5.