sysdopllc/vestacp-config-eval-rceAviso de seguridad: VestaCP <= 0.9.8-26, sinks de eval del analizador de configuración autenticado -> RCE como root (antecesor de HestiaCP GHSA-w3mx/cr7q, nunca divulgado para VestaCP)
eval del analizador de configuración de VestaCP → RCE como root (VESTACP-2026-001)Aviso de seguridad para el panel de control original Vesta (VestaCP) ≤ 0.9.8-26
(github.com/serghey-rodin/vesta, vestacp.com — sin mantenimiento desde septiembre
de 2019): el analizador de configuración compartido en func/main.sh evalúa líneas
KEY='value' controlables por el usuario con eval dentro de scripts v-* que se ejecutan como root — un
usuario autenticado del panel puede escalar a root total en el nodo de alojamiento.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)Esta es la misma clase de receptor corregida en el fork mantenido HestiaCP en julio
de 2026 — CVE-2026-84981,
CVE-2026-84984,
CVE-2026-84979 —
nunca divulgada ni corregida para el VestaCP original, su antecesor. También es
distinta de los CVE anteriores de VestaCP (capa PHP CVE-2019-9859,
cadena LPE CVE-2021-30462/30463, inyección sed CVE-2022-3967); véase la
sección Trabajos previos del aviso. Publicado para la base instalada que aún ejecuta
VestaCP en producción (ampliamente distribuido en plantillas de VPS).
advisory/VESTACP-2026-001.md — aviso
completo: receptores afectados, ruta de explotación, impacto, trabajos previos, alcance,
mitigación, cronología.poc/poc-eval-sink.sh — prueba de concepto
autocontenida: simula el análisis eval vulnerable en una línea de conf manipulada y
muestra el analizador reforzado neutralizándola. Se ejecuta en un entorno aislado mktemp; no
requiere una instalación de VestaCP.mitigation/non-eval-parser.sh — parse_object_kv_list
de reemplazo directo + receta de portabilidad para cada sitio con eval.bash poc/poc-eval-sink.sh
Esperado: el análisis vulnerable crea un archivo marcador (inyección ejecutada); el análisis reforzado lo deja inerte (valor mantenido literal).
Bryan Ramirez — SYSDOP LLC · [email protected]
Descubierto durante una auditoría de seguridad defensiva de infraestructura de alojamiento en producción, agosto de 2026. Divulgado en octubre de 2026.