CVE-2023-7313
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Nagios XI w wersjach przed 5.11.3 jest podatny na atak typu cross-site scripting (XSS) poprzez narzędzie Bulk Modifications. Niewystarczająca walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.
Ocena ryzyka
Atak XSS może prowadzić do kradzieży sesji, przejęcia konta administratora lub wykonania nieautoryzowanych działań w interfejsie Nagios XI, co zagraża integralności monitorowanej infrastruktury.
Rekomendacja
Zaleca się natychmiastową aktualizację Nagios XI do wersji 5.11.3 lub nowszej oraz wdrożenie mechanizmów walidacji i escapowania danych wejściowych w narzędziu Bulk Modifications.
Inne podatności w Nagios XI
Zobacz wszystkie- CVE-2023-40931Średnie
Podatność SQL Injection w Nagios XI w wersjach od 5.11.0 do 5.11.1 umożliwia uwierzytelnionym atakującym wykonanie dowolnych poleceń SQL poprzez parametr ID w żądaniu POST do skryptu banner_message-ajaxhelper.php.
- CVE-2021-25299Średnie
Nagios XI w wersji xi-5.7.5 zawiera podatność na atak XSS w pliku /usr/local/nagiosxi/html/admin/sshterm.php z powodu braku odpowiedniego oczyszczania danych wejściowych. Złośliwy URL może zostać użyty do kradzieży sesji administratora lub połączenia z innymi błędami w celu zdalnego wykonania kodu (RCE).
- CVE-2021-25298WysokieAktywnie exploitowane
Podatność w Nagios XI w wersji xi-5.7.5 umożliwia wstrzyknięcie poleceń systemu operacyjnego. Problem występuje w pliku /usr/local/nagiosxi/html/includes/configwizards/cloud-vm/cloud-vm.inc.php z powodu niewłaściwego oczyszczania danych wejściowych uwierzytelnionego użytkownika.
- CVE-2021-25297WysokieAktywnie exploitowane
Podatność w Nagios XI w wersji xi-5.7.5 umożliwia wstrzyknięcie poleceń systemu operacyjnego. Problem występuje w pliku switch.inc.php z powodu niewłaściwego oczyszczania danych wejściowych uwierzytelnionego użytkownika.
- CVE-2021-25296WysokieAktywnie exploitowane
Podatność w Nagios XI w wersji xi-5.7.5 umożliwia wstrzyknięcie poleceń systemu operacyjnego. Problem występuje w pliku windowswmi.inc.php z powodu niewłaściwego oczyszczania danych wejściowych uwierzytelnionego użytkownika.
- CVE-2023-7314Średnie
Nagios XI w wersjach przed 5.11.3 jest podatny na cross-site scripting (XSS) przez komponent Bandwidth Report. Niewystarczająca walidacja lub escapowanie danych wejściowych może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.
- CVE-2025-56432Średnie
W Nagios XI 2024R2 wykryto podatność na atak XSS (cross-site scripting). Luka umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript w sesji zalogowanego użytkownika poprzez spreparowany URL. Problem dotyczy komponentu webowego odpowiedzialnego za renderowanie danych związanych z wydajnością.
- CVE-2024-33775Wysokie
Podatność w komponencie Autodiscover w Nagios XI 2024R1.01 pozwala zdalnemu atakującemu na eskalację uprawnień poprzez spreparowany Dashlet.
- CVE-2023-40934Wysokie
Podatność SQL injection w Nagios XI 5.11.1 i wcześniejszych umożliwia uwierzytelnionym atakującym z uprawnieniami do zarządzania eskalacjami hostów w Menedżerze Konfiguracji Podstawowej wykonanie dowolnych poleceń SQL poprzez ustawienia powiadomień eskalacji hostów.
- CVE-2023-40933Wysokie
Podatność SQL Injection w Nagios XI w wersji 5.11.1 i niższych umożliwia uwierzytelnionym atakującym z uprawnieniami do konfiguracji banera ogłoszeń wykonanie dowolnych poleceń SQL poprzez parametr ID przesyłany do funkcji update_banner_message().
Oryginalny opis (angielski, źródło NVD)
Nagios XI versions prior to 5.11.3 are vulnerable to cross-site scripting (XSS) via the Bulk Modifications tool. Insufficient validation or escaping of user-supplied input may allow an attacker to inject and execute arbitrary script in the context of a victim's browser.