CVE-2018-25119
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Nagios Fusion w wersjach przed 4.1.5 jest podatny na cross-site scripting (XSS) poprzez parametr "fusionwindow". Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt w przeglądarce użytkownika Nagios Fusion, co może prowadzić do kradzieży sesji lub danych uwierzytelniających.
Rekomendacja
Zaktualizuj Nagios Fusion do wersji 4.1.5 lub nowszej. Do czasu aktualizacji ogranicz dostęp do interfejsu webowego.
Inne podatności w Nagios Fusion
Zobacz wszystkie- CVE-2023-7312Średnie
Nagios Fusion w wersjach przed 4.2.0 zawiera podatność typu stored XSS podczas dodawania lub konfigurowania ustawień e-mail. Nieoczyszczone dane wejściowe użytkownika mogą być zapisane i później wyświetlone w interfejsie administracyjnym, powodując wykonanie JavaScript w przeglądarce użytkownika przeglądającego podatną stronę. Atakujący mogący dodawać lub modyfikować ustawienia SMTP/e-mail może trwale zapisać złośliwy kod.
- CVE-2023-53690Średnie
Nagios Fusion w wersjach przed 4.2.0 zawiera podatność typu stored XSS w konfiguracji serwera uwierzytelniania LDAP/AD. Nieoczyszczone dane wejściowe użytkownika mogą być zapisane i później wyświetlone w interfejsie administracyjnym, powodując wykonanie JavaScript w przeglądarce użytkownika przeglądającego podatną stronę. Atakujący mogący dodawać serwery uwierzytelniania przez integrację LDAP/AD może trwale zapisać złośliwy kod.
- CVE-2023-53689Średnie
Nagios Fusion w wersjach przed 4.2.0 zawiera podatność typu reflected XSS w procesie konfiguracji klucza licencji. Podatność może skutkować wykonaniem skryptu kontrolowanego przez atakującego w przeglądarce użytkownika, który kliknie spreparowany URL. Choć serwer aplikacji nie jest bezpośrednio uszkadzany, kompromitacja przeglądarki może prowadzić do kradzieży poświadczeń/sesji i nieautoryzowanych działań administracyjnych.
- CVE-2017-20209Średnie
Nagios Fusion w wersjach przed 4.0.1 jest podatny na cross-site scripting (XSS) poprzez strony Users i Servers. Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.
Oryginalny opis (angielski, źródło NVD)
Nagios Fusion versions prior to 4.1.5 are vulnerable to cross-site scripting (XSS) via the "fusionwindow" parameter. Insufficient validation or escaping of user-supplied input may allow an attacker to inject and execute arbitrary script in the context of a victim's browser.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS