跳到主要内容

超危

LiteSpeed cPanel Plugin权限提升漏洞

2026-05-21 00:38:04 公开 ，2026-05-27 15:12:40 更新

  • CISA KEV
  • 关键漏洞
  • 远程
  • 无需认证
  • 公开PoC
CWEs：
CWE-266 （Incorrect Privilege Assignment）
SSVC：
可利用状态：已被积极利用攻击自动化：是技术影响评估：全部 2026-05-21 08:00:00

风险信息

CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS v3.1 风险值
9.8
CVSS v4.0 向量
AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
CVSS v4.0 风险值
10

详细信息

漏洞类型
其他
漏洞描述
LiteSpeed User-End cPanel Plugin是美国LiteSpeed公司的一个集成于cPanel环境中的LiteSpeed服务器用户侧管理插件。LiteSpeed User-End cPanel Plugin 2.4.5之前版本存在安全漏洞，源于lsws.redisAble 函数未能正确验证用户权限，任何cPanel用户帐户都可以滥用该漏洞以root权限执行任意脚本。此漏洞与Redis启用/禁用功能处理不当有关。
修复建议
1、在Bash中使用以下命令行： grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null 如果没有输出，说明漏洞未被利用。如果有输出，建议检查列表中的IP地址，确定是否为有效IP地址，如果不是，则阻止它们。同时检查系统日志中被检测到的IP地址的使用情况。 2、升级到LiteSpeed WHM插件5.3.1.0和cPanel 2.4.7或更高版本。参考链接： https://blog.litespeedtech.com/2026/05/21/security-update-for-litespeed-cpanel-plugin/

参考链接