CVE-2025-54893

W Centreon Infra Monitoring (moduły eksportu Awie) występuje podatność na wstrzyknięcie SQL, która pozwala nieuwierzytelnionemu użytkownikowi na wykonanie zapytań SQL. Problem dotyczy wersji: od 25.10.0 przed 25.10.2, od 24.10.0 przed 24.10.3, od 24.04.0 przed 24.04.3.

W Centreon Infra Monitoring (moduł importu Awie) występuje podatność polegająca na braku uwierzytelnienia dla krytycznych funkcji, co pozwala na dostęp do funkcji nieodpowiednio ograniczonych przez ACL. Problem dotyczy wersji: od 25.10.0 przed 25.10.2, od 24.10.0 przed 24.10.3, od 24.04.0 przed 24.04.3.

W parametrach kopii zapasowej w Centreon Infra Monitoring użytkownik z wysokimi uprawnieniami może dodać własne instrukcje do konfiguracji backupu. Brak neutralizacji specjalnych elementów w poleceniach systemu operacyjnego umożliwia wstrzyknięcie komend OS (OS Command Injection). Podatność dotyczy wersji od 25.10.0 przed 25.10.2, od 24.10.0 przed 24.10.15 oraz od 24.04.0 przed 24.04.19.

Podatność na wstrzykiwanie poleceń systemu operacyjnego w Centreon Infra Monitoring (w module konfiguracji przeładowania pollera). Na stronie parametrów pollera użytkownik z wysokimi uprawnieniami może dołączyć własne instrukcje do polecenia przeładowania pollera.

Podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron (XSS) w Centreon Infra Monitoring (moduły Services Meta-services) pozwala użytkownikom o podwyższonych uprawnieniach na wstrzyknięcie trwałego skryptu XSS. Problem dotyczy wersji od 24.10.0 przed 24.10.9, od 24.04.0 przed 24.04.16 oraz od 23.10.0 przed 23.10.26.

Podatność Stored XSS w Centreon Infra Monitoring (moduły planowania przestojów). Wersje: od 24.10.0 przed 24.10.13, od 24.04.0 przed 24.04.18, od 23.10.0 przed 23.10.28. Brak neutralizacji danych wejściowych.

Podatność typu Stored XSS w Centreon Infra Monitoring (moduły konfiguracji Commands Connectors) umożliwia atak XSS przez użytkowników z podwyższonymi uprawnieniami. Problem dotyczy wersji Infra Monitoring: od 24.10.0 przed 24.10.13, od 24.04.0 przed 24.04.18, od 23.10.0 przed 23.10.28.

Podatność typu Stored XSS w Centreon Infra Monitoring (moduły konfiguracji ACL Action access) umożliwia atak XSS przez użytkowników z podwyższonymi uprawnieniami. Problem dotyczy wersji Infra Monitoring: od 24.10.0 przed 24.10.13, od 24.04.0 przed 24.04.18, od 23.10.0 przed 23.10.28.

Podatność typu Stored XSS w Centreon Infra Monitoring (moduły widgetów HTTP Loader) spowodowana niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Dotyczy wersji od 24.10.0 przed 24.10.13, od 24.04.0 przed 24.04.18, od 23.10.0 przed 23.10.28.

Podatność typu Stored XSS w Centreon Infra Monitoring (moduły konfiguracji grup pułapek SNMP) pozwala użytkownikom z podwyższonymi uprawnieniami na wstrzyknięcie złośliwego skryptu. Dotyczy wersji od 24.10.0 przed 24.10.13, od 24.04.0 przed 24.04.18 oraz od 23.10.0 przed 23.10.28.