CVE-2024-39915
KrytyczneStreszczenie
Thruk to interfejs monitorujący dla Naemon, Nagios, Icinga i Shinken, który wykorzystuje API Livestatus. W Thruk występuje podatność na zdalne wykonanie kodu (RCE), która pozwala autoryzowanym użytkownikom z dostępem do sieci na wstrzykiwanie dowolnych poleceń za pomocą parametru URL podczas generowania raportu PDF.
Ocena ryzyka
Podatność ta może zostać wykorzystana przez autoryzowanego atakującego, co stwarza ryzyko wykonania nieautoryzowanych poleceń na serwerze. Może to prowadzić do poważnych konsekwencji dla bezpieczeństwa systemu i danych organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 3.16, w której problem został rozwiązany. Nie ma znanych obejść tej podatności.
Powiązane podatności
- CVE-2026-78162Krytyczne
Podatność deserializacji niezaufanych danych w Apache Camel dotyczy komponentu camel-hazelcast. Dwie ścieżki konfiguracji (ReplicatedHazelcastAggregationRepository oraz tryb klienta w HazelcastDefaultComponent) nie stosują filtra JavaSerializationFilterConfig, co pozwala atakującemu na zdalne wykonanie kodu poprzez wstrzyknięcie złośliwego obiektu Java do klastra Hazelcast.
- CVE-2026-111406Krytyczne
Wtyczka MapSVG (mapy wektorowe dla WordPress) do wersji 8.16.1 pozwala na nieograniczone przesyłanie plików niebezpiecznego typu. Umożliwia to atakującemu przesłanie i uruchomienie webshella na serwerze WWW.
- CVE-2026-110887Krytyczne
Wtyczka HivePress do wersji 1.7.32 zawiera podatność typu code injection wynikającą z niewłaściwej kontroli generowania kodu. Umożliwia to zdalne włączenie kodu do aplikacji.
- CVE-2026-103091Krytyczne
W Google OSS Agent Mesh (SAM) w wersjach 0.1.0-alpha.1–0.1.0-alpha.8 występuje brak autoryzacji (CWE-862) oraz niezabezpieczona domyślna konfiguracja (CWE-1188) w proxy MCP i przepływie rejestracji OIDC. Publiczne udostępnienie konfiguracji OIDC przez GET /info oraz automatyczna rejestracja każdego posiadacza ważnego tokenu OIDC przez POST /register, bez filtrowania roszczeń i sprawdzania banów, pozwalają zdalnemu atakującemu na samodzielne włączenie się do mesh i wywoływanie dowolnych narzędzi na wszystkich podłączonych węzłach backendu MCP.
- CVE-2026-102503Krytyczne
W Google OSS Agent Mesh (SAM) w wersjach 0.1.0-alpha.1–0.1.0-alpha.2 występuje brak uwierzytelniania dla funkcji krytycznej (CWE-306) oraz brak autoryzacji (CWE-862) w serwerze ingress /libp2p-http. Nieuwierzytelniony zdalny peer libp2p może ominąć egzekwowanie polityki uprawnień Biscuit i wywołać dowolne zarejestrowane usługi backendu, w tym serwery MCP oparte na poleceniach/stdio, A2A i punkty inferencji.
- CVE-2026-108983Krytyczne
W procesie GeoWebServer.exe występuje podatność związana z domyślnymi portami połączeń serwera webowego.
- CVE-2026-111998Krytyczne
Vanus w wersjach od 0.8.0 do 0.9.0 zawiera podatność związaną z domyślnymi poświadczeniami, która pozwala nieuwierzytelnionym zdalnym atakującym uzyskać dostęp na poziomie cluster-admin poprzez użycie zakodowanego na stałe tokenu administratora. Atakujący mogą wysłać stały token Bearer do portu proxy gRPC bramy, aby zarządzać przestrzeniami nazw, eventbusami, użytkownikami, tokenami i powiązaniami ról oraz odczytywać lub publikować zdarzenia.
- CVE-2026-110886Krytyczne
Wtyczka Conversational Forms for ChatBot (do wersji 1.5.1) jest podatna na deserializację niezaufanych danych, co umożliwia wstrzyknięcie obiektów. Atakujący może dostarczyć złośliwe dane, które zostaną zdeserializowane przez aplikację.
- CVE-2026-110372Krytyczne
Wtyczka OttoKit (do wersji 1.1.40) ma błąd nieprawidłowego przypisania uprawnień, który pozwala na eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania wyższych uprawnień w systemie.
- CVE-2026-109894Krytyczne
Wtyczka Booktics (do wersji 1.0.29) jest podatna na wstrzyknięcie SQL z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Atakujący może wykonać dowolne zapytania SQL.
Oryginalny opis (angielski, źródło NVD)
Thruk is a multibackend monitoring webinterface for Naemon, Nagios, Icinga and Shinken using the Livestatus API. This authenticated RCE in Thruk allows authorized users with network access to inject arbitrary commands via the URL parameter during PDF report generation. The Thruk web application does not properly process the url parameter when generating a PDF report. An authorized attacker with access to the reporting functionality could inject arbitrary commands that would be executed when the script /script/html2pdf.sh is called. The vulnerability can be exploited by an authorized user with network access. This issue has been addressed in version 3.16. Users are advised to upgrade. There are no known workarounds for this vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS