CVE-2025-8459
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność Stored XSS w Centreon Infra Monitoring (moduły planowania przestojów). Wersje: od 24.10.0 przed 24.10.13, od 24.04.0 przed 24.04.18, od 23.10.0 przed 23.10.28. Brak neutralizacji danych wejściowych.
Ocena ryzyka
Atakujący może trwale wstrzyknąć złośliwy skrypt, który będzie wykonywany w przeglądarkach innych użytkowników, co może prowadzić do kradzieży sesji lub przejęcia kont.
Rekomendacja
Zaktualizuj Centreon Infra Monitoring do wersji 24.10.13, 24.04.18 lub 23.10.28 (lub nowszych).
Inne podatności w Centreon Infra Monitoring
Zobacz wszystkie- CVE-2025-15029Krytyczne
W Centreon Infra Monitoring (moduły eksportu Awie) występuje podatność na wstrzyknięcie SQL, która pozwala nieuwierzytelnionemu użytkownikowi na wykonanie zapytań SQL. Problem dotyczy wersji: od 25.10.0 przed 25.10.2, od 24.10.0 przed 24.10.3, od 24.04.0 przed 24.04.3.
- CVE-2025-15026Krytyczne
W Centreon Infra Monitoring (moduł importu Awie) występuje podatność polegająca na braku uwierzytelnienia dla krytycznych funkcji, co pozwala na dostęp do funkcji nieodpowiednio ograniczonych przez ACL. Problem dotyczy wersji: od 25.10.0 przed 25.10.2, od 24.10.0 przed 24.10.3, od 24.04.0 przed 24.04.3.
- CVE-2025-5965Wysokie
W parametrach kopii zapasowej w Centreon Infra Monitoring użytkownik z wysokimi uprawnieniami może dodać własne instrukcje do konfiguracji backupu. Brak neutralizacji specjalnych elementów w poleceniach systemu operacyjnego umożliwia wstrzyknięcie komend OS (OS Command Injection). Podatność dotyczy wersji od 25.10.0 przed 25.10.2, od 24.10.0 przed 24.10.15 oraz od 24.04.0 przed 24.04.19.
- CVE-2025-5946Wysokie
Podatność na wstrzykiwanie poleceń systemu operacyjnego w Centreon Infra Monitoring (w module konfiguracji przeładowania pollera). Na stronie parametrów pollera użytkownik z wysokimi uprawnieniami może dołączyć własne instrukcje do polecenia przeładowania pollera.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation (XSS or 'Cross-site Scripting') vulnerability in Centreon Infra Monitoring (Monitoring recurrent downtime scheduler modules) allows Stored XSS.This issue affects Infra Monitoring: from 24.10.0 before 24.10.13, from 24.04.0 before 24.04.18, from 23.10.0 before 23.10.28.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS