Multiples vulnérabilités affectant cPanel & WHM

cPanel & WHM est une plateforme de gestion d'hébergement web offrant des interfaces centralisées pour l'administration des serveurs et l'hébergement des sites. WP Squared (WP2) est une plateforme d'hébergement WordPress infogéré reposant sur le socle technique de cPanel & WHM. Ces solutions sont affectées par plusieurs vulnérabilités libellées comme suit : CVE-2026-29201 : vulnérabilité résultant d'un défaut de validation des entrées lors de l'appel adminbin à la fonction feature::LOADFEATUREFILE. Son exploitation permettrait à un attaquant authentifié de lire des fichiers arbitraires du système au moyen de chemins relatifs non filtrés. Elle est classée moyenne avec un score de sévérité de 4.3 selon le CVSS v3.1. CVE-2026-29202 : vulnérabilité due à une validation insuffisante du paramètre « plugin » dans l'appel API « create_user ». Elle permettrait à un acteur malveillant authentifié d'injecter et d'exécuter du code Perl arbitraire avec les droits de l'utilisateur système associé au compte authentifié, ouvrant la voie à la compromission de comptes et à des mouvements latéraux sur le serveur. Elle est classée haute avec un score de sévérité de 8.8 selon le CVSS v3.1. CVE-2026-29203 : vulnérabilité résultant du suivi non sécurisé de liens symboliques lors de l'exécution d'une opération chmod dans l'extension Nova. Son exploitation permettrait à un attaquant authentifié d'appliquer des permissions restrictives ou d'attribuer les privilèges root à des fichiers arbitraires du système, conduisant à une élévation locale de privilèges ou à un déni de service. Elle est classée haute avec un score de sévérité de 8.8 selon le CVSS v3.1.

• cPanel & WHM versions antérieures à 11.136.0.9, 11.134.0.25, 11.132.0.31, 11.130.0.22, 11.126.0.58, 11.124.0.37, 11.118.0.66, 11.110.0.117, 11.102.0.41, 11.94.0.30 et 11.86.0.43 ;
• WP Squared (WP2) versions antérieures à 11.136.1.10 ;
• cPanel & WHM sous CentOS 6 ou CloudLinux 6 versions antérieures à 110.0.114.