sysdopllc/vestacp-config-eval-rceसुरक्षा सलाह: VestaCP <= 0.9.8-26 प्रमाणित कॉन्फ़िग-पार्सर eval सिंक -> रूट RCE (HestiaCP GHSA-w3mx/cr7q का पूर्वज, VestaCP के लिए कभी प्रकट नहीं किया गया)
eval सिंक → रूट RCE (VESTACP-2026-001)मूल Vesta Control Panel (VestaCP) ≤ 0.9.8-26 के लिए सुरक्षा सलाह
(github.com/serghey-rodin/vesta, vestacp.com — सितंबर 2019 से अनुरक्षित नहीं):
func/main.sh में साझा कॉन्फ़िग पार्सर उपयोगकर्ता-नियंत्रणीय
KEY='value' पंक्तियों को v-* स्क्रिप्ट्स के भीतर eval के साथ मूल्यांकित करता है जो रूट के रूप में चलती हैं — एक प्रमाणित पैनल उपयोगकर्ता होस्टिंग नोड पर पूर्ण रूट तक एस्केलेट कर सकता है।
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)यह वही सिंक वर्ग है जिसे अनुरक्षित फ़ोर्क HestiaCP में जुलाई 2026 में ठीक किया गया था — CVE-2026-84981,
CVE-2026-84984,
CVE-2026-84979 —
मूल VestaCP, जो इसका पूर्वज है, के लिए कभी प्रकट या ठीक नहीं किया गया। यह VestaCP के पहले के CVE से भी
भिन्न है (CVE-2019-9859 PHP परत,
CVE-2021-30462/30463 LPE श्रृंखला, CVE-2022-3967 sed इंजेक्शन); सलाह का Prior art अनुभाग देखें।
उन इंस्टॉल बेस के लिए प्रकाशित जो अभी भी उत्पादन में VestaCP चला रहे हैं (VPS टेम्पलेट्स में व्यापक रूप से शामिल)।
advisory/VESTACP-2026-001.md — पूर्ण
सलाह: प्रभावित सिंक, शोषण पथ, प्रभाव, पूर्व कला, दायरा,
शमन, समयरेखा।poc/poc-eval-sink.sh — स्व-निहित प्रमाण
अवधारणा: एक तैयार की गई कॉन्फ़ लाइन पर कमजोर eval पार्स का अनुकरण करता है और
दिखाता है कि कठोर पार्सर इसे निष्क्रिय कर देता है। mktemp सैंडबॉक्स में चलता है; VestaCP इंस्टॉल की
आवश्यकता नहीं है।mitigation/non-eval-parser.sh — हर eval साइट के लिए ड्रॉप-इन
parse_object_kv_list + पोर्टिंग रेसिपी।bash poc/poc-eval-sink.sh
अपेक्षित: कमजोर पार्स एक मार्कर फ़ाइल बनाता है (इंजेक्शन निष्पादित); कठोर पार्स इसे निष्क्रिय छोड़ देता है (मान शाब्दिक रखा गया)।
Bryan Ramirez — SYSDOP LLC · [email protected]
अगस्त 2026 में उत्पादन होस्टिंग अवसंरचना के रक्षात्मक सुरक्षा ऑडिट के दौरान खोजा गया। अक्टूबर 2026 में प्रकट किया गया।