CVE-2025-34278

ŚrednieCVSS 5.4

Opublikowano: 30/10/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.76%

Percentyl 54 - wyżej niż 54% wszystkich znanych CVE

Streszczenie

Nagios Network Analyzer w wersjach starszych niż 2024R1 zawiera podatność typu stored cross-site scripting (XSS) na stronie Source Groups (menu kalkulatora percentyli). Atakujący może dostarczyć złośliwy ładunek, który jest przechowywany przez aplikację i później renderowany w kontekście innych użytkowników. Gdy ofiara wyświetli dotkniętą stronę, wstrzyknięty skrypt wykona się w kontekście jej przeglądarki.

Ocena ryzyka

Stored XSS może pozwolić atakującemu na kradzież sesji, przejęcie konta lub wykonanie działań w imieniu ofiary. Może to prowadzić do naruszenia bezpieczeństwa całej aplikacji.

Rekomendacja

Zaktualizuj Nagios Network Analyzer do wersji 2024R1 lub nowszej. Sprawdź, czy w systemie nie ma już wstrzykniętych złośliwych ładunków.

Inne podatności w Nagios Network Analyzer

CVE-2025-34280Wysokie
Nagios Network Analyzer w wersjach przed 2024R2.0.1 zawiera podatność w funkcji zarządzania certyfikatami LDAP, gdzie operacja usuwania certyfikatu nie stosuje odpowiedniej sanityzacji danych wejściowych. Uwierzytelniony administrator może wywołać wykonanie poleceń na hoście w kontekście usługi aplikacji webowej, co prowadzi do zdalnego wykonania kodu z uprawnieniami usługi.

Oryginalny opis (angielski, źródło NVD)

Nagios Network Analyzer versions prior to 2024R1 contain a stored cross-site scripting (XSS) vulnerability in the Source Groups page (percentile calculator menu). An attacker can supply a malicious payload which is stored by the application and later rendered in the context of other users. When a victim views the affected page the injected script executes in the victim's browser context.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS