CVE-2026-12196

8.3 Élevée

Publiée le 04/07/2026 à 14:16 · Modifiée le 06/07/2026 à 21:43 · Analyse NVD reportée · Source : ab69c47f-b95e-4bf2-b2d9-4b1fd1b24b4a

Description

HestiaCP panel cronjob feature is affected by a broken access control vulnerability. Low privilege users can modify the panel cronjob to execute scripts HestiaCP management scripts with passwordless sudo. This could result in the takeover of administrator users in the application and the underlying webserver.

Traduire en français

Produits concernés

hestiacp

Scores CVSS

Version	Score	Source	Vecteur
4.0	8.3 Élevée	ab69c47f-b95e-4bf2-b2d9-4b1fd1b24b4a	`CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`

Faiblesses (CWE)

CWE-287

Références

https://github.com/hestiacp/hestiacp/pull/5440
https://projectblack.io/blog/hestiacp-admin-takeover-rce/

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories