CVE-2025-5965
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 98 - wyżej niż 98% wszystkich znanych CVE
Streszczenie
W parametrach kopii zapasowej w Centreon Infra Monitoring użytkownik z wysokimi uprawnieniami może dodać własne instrukcje do konfiguracji backupu. Brak neutralizacji specjalnych elementów w poleceniach systemu operacyjnego umożliwia wstrzyknięcie komend OS (OS Command Injection). Podatność dotyczy wersji od 25.10.0 przed 25.10.2, od 24.10.0 przed 24.10.15 oraz od 24.04.0 przed 24.04.19.
Ocena ryzyka
Osoba z uprawnieniami administracyjnymi może wykonać dowolne polecenia systemowe na serwerze, co może prowadzić do pełnej kompromitacji systemu, kradzieży danych lub przerwania działania monitorowania.
Rekomendacja
Zaleca się natychmiastową aktualizację Centreon Infra Monitoring do wersji 25.10.2, 24.10.15 lub 24.04.19 (lub nowszej) oraz ograniczenie dostępu do konfiguracji backupu tylko dla zaufanych administratorów.
Inne podatności w Centreon Infra Monitoring
Zobacz wszystkie- CVE-2025-15029Krytyczne
W Centreon Infra Monitoring (moduły eksportu Awie) występuje podatność na wstrzyknięcie SQL, która pozwala nieuwierzytelnionemu użytkownikowi na wykonanie zapytań SQL. Problem dotyczy wersji: od 25.10.0 przed 25.10.2, od 24.10.0 przed 24.10.3, od 24.04.0 przed 24.04.3.
- CVE-2025-15026Krytyczne
W Centreon Infra Monitoring (moduł importu Awie) występuje podatność polegająca na braku uwierzytelnienia dla krytycznych funkcji, co pozwala na dostęp do funkcji nieodpowiednio ograniczonych przez ACL. Problem dotyczy wersji: od 25.10.0 przed 25.10.2, od 24.10.0 przed 24.10.3, od 24.04.0 przed 24.04.3.
- CVE-2025-5946Wysokie
Podatność na wstrzykiwanie poleceń systemu operacyjnego w Centreon Infra Monitoring (w module konfiguracji przeładowania pollera). Na stronie parametrów pollera użytkownik z wysokimi uprawnieniami może dołączyć własne instrukcje do polecenia przeładowania pollera.
- CVE-2025-10023Średnie
Podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron (XSS) w Centreon Infra Monitoring (moduły Services Meta-services) pozwala użytkownikom o podwyższonych uprawnieniach na wstrzyknięcie trwałego skryptu XSS. Problem dotyczy wersji od 24.10.0 przed 24.10.9, od 24.04.0 przed 24.04.16 oraz od 23.10.0 przed 23.10.26.
- CVE-2025-8459Wysokie
Podatność Stored XSS w Centreon Infra Monitoring (moduły planowania przestojów). Wersje: od 24.10.0 przed 24.10.13, od 24.04.0 przed 24.04.18, od 23.10.0 przed 23.10.28. Brak neutralizacji danych wejściowych.
- CVE-2025-8430Średnie
Podatność typu Stored XSS w Centreon Infra Monitoring (moduły konfiguracji Commands Connectors) umożliwia atak XSS przez użytkowników z podwyższonymi uprawnieniami. Problem dotyczy wersji Infra Monitoring: od 24.10.0 przed 24.10.13, od 24.04.0 przed 24.04.18, od 23.10.0 przed 23.10.28.
- CVE-2025-8429Średnie
Podatność typu Stored XSS w Centreon Infra Monitoring (moduły konfiguracji ACL Action access) umożliwia atak XSS przez użytkowników z podwyższonymi uprawnieniami. Problem dotyczy wersji Infra Monitoring: od 24.10.0 przed 24.10.13, od 24.04.0 przed 24.04.18, od 23.10.0 przed 23.10.28.
- CVE-2025-54893Średnie
Podatność typu Stored XSS w Centreon Infra Monitoring (moduły konfiguracji Hosts templates) umożliwia atak XSS przez użytkowników z podwyższonymi uprawnieniami. Problem dotyczy wersji Infra Monitoring: od 24.10.0 przed 24.10.13, od 24.04.0 przed 24.04.18, od 23.10.0 przed 23.10.28.
- CVE-2025-8428Średnie
Podatność typu Stored XSS w Centreon Infra Monitoring (moduły widgetów HTTP Loader) spowodowana niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Dotyczy wersji od 24.10.0 przed 24.10.13, od 24.04.0 przed 24.04.18, od 23.10.0 przed 23.10.28.
- CVE-2025-54892Średnie
Podatność typu Stored XSS w Centreon Infra Monitoring (moduły konfiguracji grup pułapek SNMP) pozwala użytkownikom z podwyższonymi uprawnieniami na wstrzyknięcie złośliwego skryptu. Dotyczy wersji od 24.10.0 przed 24.10.13, od 24.04.0 przed 24.04.18 oraz od 23.10.0 przed 23.10.28.
Oryginalny opis (angielski, źródło NVD)
In the backup parameters, a user with high privilege is able to concatenate custom instructions to the backup setup. Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability in Centreon Infra Monitoring (Backup configuration in the administration setup modules) allows OS Command Injection.This issue affects Infra Monitoring: from 25.10.0 before 25.10.2, from 24.10.0 before 24.10.15, from 24.04.0 before 24.04.19.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS