CVE-2025-34088
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 91 - wyżej niż 91% wszystkich znanych CVE
Streszczenie
Podatność umożliwia uwierzytelnionym użytkownikom zdalne wykonanie dowolnych poleceń systemu operacyjnego w Pandora FMS w wersji 7.0NG i wcześniejszych. Problem występuje w skrypcie net_tools.php, gdzie parametr select_ips nie jest odpowiednio oczyszczany przed przekazaniem do poleceń systemowych, co pozwala na wstrzyknięcie poleceń.
Ocena ryzyka
Atakujący z uwierzytelnieniem może przejąć kontrolę nad serwerem Pandora FMS, wykonać dowolne polecenia, zmodyfikować dane lub zakłócić działanie monitorowanej infrastruktury IT.
Rekomendacja
Należy natychmiast zaktualizować Pandora FMS do wersji nowszej niż 7.0NG, która zawiera poprawkę usuwającą podatność. Do czasu aktualizacji ograniczyć dostęp do interfejsu administracyjnego tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
An authenticated remote code execution vulnerability exists in Pandora FMS version 7.0NG and earlier. The net_tools.php functionality allows authenticated users to execute arbitrary OS commands via the select_ips parameter when performing network tools operations, such as pinging. This occurs because user input is not properly sanitized before being passed to system commands, enabling command injection.