Le LiteSpeed cPanel Plugin contient une vulnérabilité d'élévation de privilèges qui est exposée via le plugin cPanel côté utilisateur, et qui peut être abusée par n'importe quel compte utilisateur cPanel pour exécuter des scripts arbitraires avec des privilèges root.
Action requise :Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.
Score CVSS 4.0 : 10,0 sur 10, gravité critique CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Exploitable à distance, par le réseau, sans compte, sans action de la victime.
Probabilité d’exploitation dans les 30 jours (EPSS) : 17,9 %, parmi les 3 % de CVE les plus susceptibles d’être exploitées
Versions concernées
litespeed cpanel plugin : versions < 2.4.7
litespeed whm plugin : versions < 5.3.1.0
D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.
Type de faiblesse
Attribution de privilèges incorrecte (CWE-266) : Un produit attribue incorrectement un privilège à un acteur spécifique, créant ainsi une sphère de contrôle non intentionnelle pour cet acteur.
Chronologie
— Publication de la CVE
— Exploitation confirmée : ajout au catalogue KEV de la CISA
— Échéance de correction pour les agences fédérales américaines
LiteSpeed cPanel Plugin contains privilege escalation vulnerability that is exposed via the user-end cPanel plugin, which can be abused by any cPanel user account to execute arbitrary scripts with root privileges.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Autres failles exploitées de LiteSpeed cPanel Plugin
CVE-2026-54420 — LiteSpeed cPanel Plugin : vulnérabilité de suivi de lien symbolique UNIX (15 juin 2026)