CVE-2025-71385
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność XSS w Netdata przed wersją 2.3.1 w endpointach api/v2/ilove.svg i api/v3/ilove.svg. Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez parametr love, który jest odzwierciedlany w odpowiedzi SVG bez odpowiedniego kodowania. Endpointy są dostępne bez uwierzytelniania, co umożliwia zdalne wykonanie skryptu w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji, przechwycenia danych uwierzytelniających lub wykonania nieautoryzowanych działań w kontekście sesji ofiary w interfejsie Netdata. Atak może być wykorzystany do phishingu lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Należy natychmiast zaktualizować Netdata do wersji 2.3.1 lub nowszej, która usuwa podatny endpoint. Jeśli aktualizacja nie jest możliwa, należy zablokować dostęp do endpointów /api/v2/ilove.svg i /api/v3/ilove.svg na zaporze sieciowej lub w konfiguracji serwera.
Inne podatności w Netdata
Zobacz wszystkie- CVE-2026-83603Wysokie
Netdata przed wersją 2.10.4 zawiera podatność w narzędziu ndsudo, które uruchamiane z uprawnieniami roota akceptuje ścieżkę gniazda od niskouprzywilejowanego konta netdata, umożliwiając wykonanie kodu jako root na systemach z zainstalowanym fail2ban-client.
- CVE-2026-83602Średnie
W Netdata w wersjach od 2.0.0 do 2.11.0 endpoint /api/v3/settings jest zarejestrowany z pominięciem kontroli dostępu (HTTP_ACL_NOCHECK, HTTP_ACCESS_ANONYMOUS_DATA), co pozwala nieuwierzytelnionemu użytkownikowi wysyłać żądania PUT z pominięciem ograniczeń IP skonfigurowanych przez operatora. Atakujący może zapisać własną treść JSON w pliku {varlib}/settings/default.json, manipulować licznikiem wersji i wielokrotnymi zapisami blisko 20 MiB wyczerpać miejsce na dysku.
- CVE-2026-83601Średnie
W Netdata przed wersją 2.10.4 uwierzytelniony agent potomny może wysłać zbyt dużą wartość DIMENSION SLOT, która bez górnego limitu trafia przez str2ull_encoded do pluginsd_rrddim_put_to_slot. Funkcja prd_array_create może następnie przepełnić obliczenie rozmiaru alokacji size_t, zachowując oryginalny duży rozmiar tablicy, co powoduje zapis poza zbyt małym buforem sterty i awarię agenta nadrzędnego.
- CVE-2026-83600Średnie
W Netdata przed wersją 2.10.4 uwierzytelniony agent potomny może wysłać zbyt dużą wartość CHART SLOT, która trafia przez str2ull_encoded do pluginsd_rrdset_cache_put_to_slot. Przyjęta wartość powoduje, że reallocz próbuje zaalokować tablicę wskaźników wykresów o rozmiarze około 16 GiB, a niepowodzenie alokacji wywołuje funkcję fatal i przerywa działanie agenta nadrzędnego.
- CVE-2026-83599Wysokie
Netdata przed wersją 2.11.0 zawiera podatność w serwerze WebSocket, która pozwala nieuwierzytelnionemu atakującemu na wysyłanie małych, wysoko skompresowanych ramek, prowadząc do dużych alokacji pamięci i wyczerpania zasobów.
- CVE-2026-83598Wysokie
Netdata w wersjach od 2.0.0 do 2.10.4 zawiera podatność podczas naprawy MSI, gdzie powershell.exe uruchamiany jako SYSTEM ładuje profil PowerShell z katalogu użytkownika, pozwalając na wykonanie poleceń z uprawnieniami SYSTEM.
Oryginalny opis (angielski, źródło NVD)
Netdata before 2.3.1 reflects the user-supplied love query parameter of the api/v2/ilove.svg and api/v3/ilove.svg endpoints verbatim into the generated SVG document (into a text element) without HTML or XML escaping, and serves the response with Content-Type image/svg+xml. An attacker can craft a URL such as /api/v2/ilove.svg?love=<script>...</script>; when a victim navigates to it the injected script executes in the victim browser in the origin of the Netdata instance (reflected cross-site scripting). These endpoints are registered with HTTP_ACL_NOCHECK and anonymous access and, because bearer-token protection is disabled by default, are reachable without authentication on a default Netdata agent. The issue was resolved by removing the ilove endpoint.