PT-2026-40436 · Cpdavd · Cpdavd

CVE-2026-29205 · Publicado 2026-04-04 · Atualizado 2026-07-12

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas cPanel (versões afetadas não especificadas)

Description Um problema de path traversal (travessia de caminho) pré-autenticação existe no serviço cpdavd do cPanel e WordPress Squared, bem como no WebHost Manager. Esta falha é resultado de gerenciamento incorreto de privilégios e filtragem de caminho insuficiente nos endpoints de download de anexos do cpdavd. Um invasor pode explorar isso abusando do tratamento de alias + do Dovecot para criar nomes de diretórios controlados pelo invasor no disco, permitindo a leitura remota de arquivos arbitrários no servidor com privilégios de root.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Path traversal

Enumeração de Fraquezas

CWE-250

CWE-22

Identificadores relacionados

BDU:2026-07107

CVE-2026-29205

Produtos afetados

Cpdavd

Referências · 24

• https://bdu.fstec.ru/vul/2026-07107 · Nota de Segurança
• https://twitter.com/lyrie_ai/status/2069620574645567579 · Publicação no Twitter
• https://t.me/secharvester/22513 · Publicação no Telegram
• https://t.me/defcon_news/135788 · Publicação no Telegram
• https://support.cpanel.net/hc/en-us/articles/40437020299927-Security-CVE-2026-29205-cPanel-WHM-WP2-Security-Update-May-13-2026 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-29205 · Nota de Segurança
• https://t.me/CSIRT_italia/3544 · Publicação no Telegram
• https://twitter.com/cyberatlas_ai/status/2076301450376777901 · Publicação no Twitter
• https://slcyber.io/research-center/new-age-of-collisions-reading-arbitrary-files-pre-auth-as-root-in-cpanel-cve-2026-29205 · Nota
• https://twitter.com/infosec_au/status/2054749885258449252 · Publicação no Twitter
• https://twitter.com/N45HTOfficial/status/2056413417150575011 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2069620572426830020 · Publicação no Twitter
• https://twitter.com/KenBrubacher/status/2054404585570095283 · Publicação no Twitter
• https://twitter.com/CCBalert/status/2056372492214612252 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2054709176488935634 · Publicação no Twitter