CVE-2023-40932
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 - wyżej niż 60% wszystkich znanych CVE
Streszczenie
Podatność na skryptowanie między witrynami (XSS) w Nagios XI w wersji 5.11.1 i niższych umożliwia uwierzytelnionym atakującym z dostępem do komponentu niestandardowego logo wstrzyknięcie dowolnego kodu JavaScript lub HTML za pomocą pola tekstu alternatywnego. Atak wpływa na wszystkie strony zawierające pasek nawigacyjny, w tym stronę logowania, co pozwala na kradzież haseł w postaci jawnego tekstu.
Ocena ryzyka
Organizacja narażona jest na kradzież poświadczeń użytkowników w postaci jawnego tekstu oraz potencjalne przejęcie kont administracyjnych, co może prowadzić do pełnej kompromitacji systemu monitorującego.
Rekomendacja
Należy niezwłocznie zaktualizować Nagios XI do wersji 5.11.2 lub nowszej, która zawiera poprawkę eliminującą podatność XSS w komponencie niestandardowego logo.
Oryginalny opis (angielski, źródło NVD)
A Cross-site scripting (XSS) vulnerability in Nagios XI version 5.11.1 and below allows authenticated attackers with access to the custom logo component to inject arbitrary javascript or HTML via the alt-text field. This affects all pages containing the navbar including the login page which means the attacker is able to to steal plaintext credentials.