Plesk Obsidian – Denial of Service über get_password.php

Beschreibung

Plesk Obsidian in den Versionen 8.0.1 bis 18.0.73 ist anfällig für einen Denial-of-Service-Zustand. Die Schwachstelle liegt im Endpunkt get_password.php: Eine präparierte Anfrage mit bösartiger Nutzlast kann die betroffene Weboberfläche zum fortlaufenden Neuladen bringen und den Dienst für legitime Nutzer unerreichbar machen. Ein Angreifer kann dies aus der Ferne und ohne Authentifizierung ausnutzen, mit dauerhafter Beeinträchtigung der Verfügbarkeit. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Aktualisierungen des Herstellers verfolgen und einspielen, sobald verfügbar.

Changelog

1. 2026-07-19 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Plesk / cPanel

• LiteSpeed cPanel-Plugin: Symlink-Following-Schwachstelle unter UNIX KEV CVE-2026-54420
• LiteSpeed cPanel Plugin – Privilege Escalation KEV CVE-2026-48172
• WebPros cPanel & WHM / WP Squared – Fehlende Authentifizierung für kritische Funktion KEV CVE-2026-41940
• LiteSpeed Cache – Authentifizierungsumgehung durch ungeschützte Zugangsdaten CVE-2024-44000
• LiteSpeed Cache – Falsche Rechtevergabe (Incorrect Privilege Assignment) CVE-2024-28000
• Plesk 18.0 – fehlerhafte Zugriffskontrolle CVE-2025-66430