CVE-2026-14453
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
Krytyczna podatność Server-Side Template Injection (SSTI) w module centreon-open-tickets Centreon. Pole message_confirm jest przechowywane bez sanityzacji i renderowane przez Smarty bez włączonej polityki bezpieczeństwa, co pozwala uwierzytelnionemu użytkownikowi na wstrzyknięcie i wykonanie dowolnego kodu na serwerze.
Ocena ryzyka
Ryzyko obejmuje ujawnienie tajemnic środowiskowych oraz potencjalny wpływ na dostępność produktu Centreon Infra Monitoring, co może prowadzić do przejęcia kontroli nad systemem i wycieku poufnych danych.
Rekomendacja
Należy natychmiast zaktualizować moduł centreon-open-tickets do najnowszej wersji zawierającej poprawkę oraz wdrożyć politykę bezpieczeństwa Smarty, aby zapobiec wstrzykiwaniu szablonów.
Inne podatności w Centreon
Zobacz wszystkie- CVE-2026-11587Wysokie
W Centreon występuje podatność SQL injection, która pozwala uwierzytelnionemu użytkownikowi posiadającemu dostęp do zarządzania ACL na odczyt i modyfikację bazy danych Centreon. Podatność umożliwia manipulację danymi w bazie poza zamierzonymi uprawnieniami użytkownika.
- CVE-2021-27676Średnie
Centreon w wersji 20.10.2 zawiera podatność na trwały atak XSS. Parametry dep_description i dep_name są podatne na wstrzykiwanie skryptów, co wymaga zalogowania i przejścia do strony Konfiguracja > Powiadomienia > Hosty.
Oryginalny opis (angielski, źródło NVD)
This vulnerability is a critical Server-Side Template Injection (SSTI) in Centreon's centreon-open-tickets module that leads to Remote Code Execution. The message_confirm field is stored without sanitization and rendered via Smarty with no security policy enabled, allowing any authenticated user, to inject and execute arbitrary code on the server. This results in disclosure of environment secrets and could impact platform availability of Centreon Infra Monitoring product.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS