CVE-2023-0829

Las versiones de Plesk de la 17.0 a la 18.0.31 cargan una falla de cross-site scripting donde un propietario de suscripción malicioso, un cliente o un usuario adicional, puede plantar una carga útil que compromete completamente el servidor cuando un administrador luego visualiza una determinada página relacionada con la suscripción. Es XSS almacenado con un desenlace devastador: el atacante comienza como un inquilino de bajo privilegio y termina con el control del servidor de hosting una vez que la sesión de un administrador ejecuta la carga útil.

La dinámica importante es la inversión de confianza en el hosting compartido: el atacante solo necesita una suscripción legítima, algo que a los clientes se les otorga por diseño, y luego espera a que un administrador mire la página correcta. Eso lo hace muy práctico en entornos multiinquilino donde los operadores revisan suscripciones de forma rutinaria, y la ubicuidad de Plesk en los paneles de hosting lo convierte en un objetivo conocido y valioso. El compromiso total del servidor desde una cuenta de inquilino es una escalada seria.

Nuestro enfoque es el encadenamiento y el radio de impacto: en cualquier equipo Plesk compartido, tratamos a cada propietario de suscripción como un atacante potencial y priorizamos el parche en los paneles de control donde clientes no confiables tienen cuentas. Donde la actualización se retrase, endureceríamos los flujos de trabajo de administrador en torno a la visualización de suscripciones no confiables y vigilaríamos comportamientos anómalos en las sesiones de administrador, ya que el exploit depende de que esa vista privilegiada dispare la carga útil.