CVE-2023-0829

As versões do Plesk 17.0 até 18.0.31 carregam uma falha de cross-site scripting em que um proprietário de assinatura malicioso, um cliente ou um usuário adicional, pode plantar um payload que compromete totalmente o servidor quando um administrador, mais tarde, visualiza uma determinada página relacionada à assinatura. É XSS armazenado com um desfecho devastador: o atacante começa como um inquilino de baixo privilégio e termina com o controle do servidor de hospedagem assim que a sessão de um admin executa o payload.

A dinâmica importante é a inversão de confiança na hospedagem compartilhada: o atacante só precisa de uma assinatura legítima, algo que os clientes recebem por design, e então espera que um admin olhe a página certa. Isso o torna muito prático em ambientes multi-inquilino onde operadores rotineiramente revisam assinaturas, e a onipresença do Plesk em painéis de hospedagem o torna um alvo conhecido e valioso. Comprometimento total do servidor a partir de uma conta de inquilino é uma escalada séria.

Nossa abordagem é encadeamento e raio de impacto: em qualquer servidor Plesk compartilhado, tratamos todo proprietário de assinatura como um atacante em potencial e priorizamos o patch nos painéis de controle onde clientes não confiáveis detêm contas. Onde a atualização atrasa, apertaríamos os fluxos de trabalho de admin em torno da visualização de assinaturas não confiáveis e observaríamos comportamento anômalo de sessão de admin, já que o exploit depende daquela visualização privilegiada disparar o payload.