FICHE CVE

CVE-2026-68492

Publiée le 2026-09-23 · Dernière modification le 2026-09-24

🇫🇷 EN BREF

Les installations de Plesk utilisant l'extension RESTful API (versions 18.0.34 à 18.0.81) sont vulnérables à une faille de chemin de recherche non fiable (untrusted search path). Un attaquant disposant d'identifiants d'utilisateur valides peut exploiter cette faille via le réseau pour exécuter du code arbitraire sur le serveur avec des privilèges root. L'attaque est relativement simple à réaliser car elle ne nécessite aucune condition particulière ni interaction de l'utilisateur au-delà d'une session authentifiée initiale.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

Chemin de recherche non fiable · CWE-426

Publiée2026-09-23

Dernière modification2026-09-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

support@hackerone.com

Description officielle du NVD (en anglais)

An untrusted search path vulnerability in Plesk from 18.0.34 before 18.0.80.8 and 18.0.81 before 18.0.81.1 allows remote authenticated users to execute arbitrary code as root via the "Plesk RESTful API" extension from 2.4.2 before 2.4.7.