CVE-2025-60424
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
W Nagios Fusion v2024R1.2 i v2024R2 brakuje ograniczania liczby prób w komponencie weryfikacji OTP. Atakujący może obejść uwierzytelnianie poprzez atak brute force.
Ocena ryzyka
Brak limitowania prób umożliwia atakującemu zgadywanie kodów OTP i przejęcie konta. Może to prowadzić do nieautoryzowanego dostępu do systemu monitoringu.
Rekomendacja
Zaktualizuj Nagios Fusion do wersji zawierającej poprawkę lub wdróż zewnętrzne ograniczanie liczby prób OTP. Monitoruj nieudane próby logowania.
Inne podatności w Nagios Fusion
Zobacz wszystkie- CVE-2023-7312Średnie
Nagios Fusion w wersjach przed 4.2.0 zawiera podatność typu stored XSS podczas dodawania lub konfigurowania ustawień e-mail. Nieoczyszczone dane wejściowe użytkownika mogą być zapisane i później wyświetlone w interfejsie administracyjnym, powodując wykonanie JavaScript w przeglądarce użytkownika przeglądającego podatną stronę. Atakujący mogący dodawać lub modyfikować ustawienia SMTP/e-mail może trwale zapisać złośliwy kod.
- CVE-2023-53690Średnie
Nagios Fusion w wersjach przed 4.2.0 zawiera podatność typu stored XSS w konfiguracji serwera uwierzytelniania LDAP/AD. Nieoczyszczone dane wejściowe użytkownika mogą być zapisane i później wyświetlone w interfejsie administracyjnym, powodując wykonanie JavaScript w przeglądarce użytkownika przeglądającego podatną stronę. Atakujący mogący dodawać serwery uwierzytelniania przez integrację LDAP/AD może trwale zapisać złośliwy kod.
- CVE-2023-53689Średnie
Nagios Fusion w wersjach przed 4.2.0 zawiera podatność typu reflected XSS w procesie konfiguracji klucza licencji. Podatność może skutkować wykonaniem skryptu kontrolowanego przez atakującego w przeglądarce użytkownika, który kliknie spreparowany URL. Choć serwer aplikacji nie jest bezpośrednio uszkadzany, kompromitacja przeglądarki może prowadzić do kradzieży poświadczeń/sesji i nieautoryzowanych działań administracyjnych.
- CVE-2018-25119Średnie
Nagios Fusion w wersjach przed 4.1.5 jest podatny na cross-site scripting (XSS) poprzez parametr "fusionwindow". Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.
- CVE-2017-20209Średnie
Nagios Fusion w wersjach przed 4.0.1 jest podatny na cross-site scripting (XSS) poprzez strony Users i Servers. Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.
Oryginalny opis (angielski, źródło NVD)
A lack of rate limiting in the OTP verification component of Nagios Fusion v2024R1.2 and v2024R2 allows attackers to bypass authentication via a bruteforce attack.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS