CVE-2026-14453
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Krytyczna podatność Server-Side Template Injection (SSTI) w module centreon-open-tickets Centreon. Pole message_confirm jest przechowywane bez sanityzacji i renderowane przez Smarty bez włączonej polityki bezpieczeństwa, co pozwala uwierzytelnionemu użytkownikowi na wstrzyknięcie i wykonanie dowolnego kodu na serwerze.
Ocena ryzyka
Ryzyko obejmuje ujawnienie tajemnic środowiskowych oraz potencjalny wpływ na dostępność produktu Centreon Infra Monitoring, co może prowadzić do przejęcia kontroli nad systemem i wycieku poufnych danych.
Rekomendacja
Należy natychmiast zaktualizować moduł centreon-open-tickets do najnowszej wersji zawierającej poprawkę oraz wdrożyć politykę bezpieczeństwa Smarty, aby zapobiec wstrzykiwaniu szablonów.
Oryginalny opis (angielski, źródło NVD)
This vulnerability is a critical Server-Side Template Injection (SSTI) in Centreon's centreon-open-tickets module that leads to Remote Code Execution. The message_confirm field is stored without sanitization and rendered via Smarty with no security policy enabled, allowing any authenticated user, to inject and execute arbitrary code on the server. This results in disclosure of environment secrets and could impact platform availability of Centreon Infra Monitoring product.