Plesk Obsidian – Denial of Service über get_password.php

Beschreibung

Plesk Obsidian in den Versionen 8.0.1 bis 18.0.73 ist anfällig für einen Denial-of-Service-Zustand. Die Schwachstelle liegt im Endpunkt get_password.php: Eine präparierte Anfrage mit bösartiger Nutzlast kann die betroffene Weboberfläche zum fortlaufenden Neuladen bringen und den Dienst für legitime Nutzer unerreichbar machen. Ein Angreifer kann dies aus der Ferne und ohne Authentifizierung ausnutzen, mit dauerhafter Beeinträchtigung der Verfügbarkeit. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Aktualisierungen des Herstellers verfolgen und einspielen, sobald verfügbar.

Changelog

1. 2026-07-19 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Plesk / cPanel

• Acronis Backup Incorrect Default Permissions Vulnerability KEV CVE-2026-87886
• LiteSpeed cPanel-Plugin: Symlink-Following-Schwachstelle unter UNIX KEV CVE-2026-54420
• LiteSpeed cPanel Plugin – Privilege Escalation KEV CVE-2026-48172
• WebPros cPanel & WHM / WP Squared – Fehlende Authentifizierung für kritische Funktion KEV CVE-2026-41940
• Path traversal in Plesk's Backup Manager causes arbitrary file write as root by an authenticated customer CVE-2026-68487
• Plesk – TOCTOU-Schwachstelle ermöglicht lokale Rechteausweitung auf Root CVE-2026-68488