sysdopllc/vestacp-config-eval-rceتنبيه أمني: VestaCP <= 0.9.8-26 نقاط استقبال eval في محلّل الإعدادات المُصادَق عليها -> تنفيذ أوامر عن بُعد بصلاحيات الجذر (سلف HestiaCP GHSA-w3mx/cr7q، لم يُفصح عنه أبدًا لـ VestaCP)
eval في محلل إعدادات VestaCP ← تنفيذ أوامر بصلاحيات الجذر (VESTACP-2026-001)تنبيه أمني بخصوص لوحة التحكم Vesta الأصلية (VestaCP) ≤ 0.9.8-26
(github.com/serghey-rodin/vesta، vestacp.com — غير مُصانة منذ سبتمبر
2019): محلل الإعدادات المشترك في func/main.sh يقيّم أسطر KEY='value'
القابلة للتحكم من المستخدم باستخدام eval داخل سكربتات v-* التي تعمل
بصلاحيات الجذر — ما يتيح لمستخدم مصادَق عليه في اللوحة الترقّي إلى صلاحيات
الجذر الكاملة على عقدة الاستضافة.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)هذه هي نفس فئة المصارف التي جرى إصلاحها في التفرّع المُصان HestiaCP في يوليو
2026 — CVE-2026-84981،
CVE-2026-84984،
CVE-2026-84979 —
ولم يُكشف عنها أو تُصلح قط في VestaCP الأصلية، سلفه. وهي أيضاً
مختلفة عن ثغرات VestaCP السابقة (طبقة PHP في CVE-2019-9859،
سلسلة LPE في CVE-2021-30462/30463، حقن sed في CVE-2022-3967)؛ انظر
قسم الأعمال السابقة في التنبيه. نُشر من أجل قاعدة التثبيت التي لا تزال تشغّل
VestaCP في بيئات الإنتاج (تُوزَّع على نطاق واسع في قوالب VPS).
advisory/VESTACP-2026-001.md — التنبيه
الكامل: المصارف المتأثرة، مسار الاستغلال، التأثير، الأعمال السابقة، النطاق،
التخفيف، الجدول الزمني.poc/poc-eval-sink.sh — إثبات مفهوم مكتفٍ ذاتياً:
يحاكي تحليل eval الثغرة على سطر conf مُصمَّم ويُظهر
تعطيل المحلل المُحصَّن له. يعمل في بيئة معزولة mktemp؛ ولا
يتطلب تثبيت VestaCP.mitigation/non-eval-parser.sh — بديل
جاهز لـ parse_object_kv_list + وصفة نقل لكل موقع eval.bash poc/poc-eval-sink.sh
المتوقع: التحليل الثغرة يُنشئ ملف علامة (نُفِّذ الحقن)؛ بينما التحليل المُحصَّن يتركه خاملاً (تبقى القيمة حرفية).
Bryan Ramirez — SYSDOP LLC · [email protected]
اكتُشفت أثناء تدقيق أمني دفاعي لبنية استضافة إنتاجية، أغسطس 2026. أُفصح عنها في أكتوبر 2026.