CVE-2026-23919
WysokieStreszczenie
Z powodu optymalizacji wydajności Zabbix Server/Proxy ponownie używa kontekstów JavaScript (Duktape) w elementach skryptowych, przetwarzaniu JavaScript i Webhookach. Może to prowadzić do utraty poufności, gdzie zwykły (nie-super) administrator Zabbix może wyciec dane dla hostów, do których nie ma dostępu. Wydano poprawkę czyniącą wbudowane obiekty JavaScript tylko do odczytu, ale zaleca się unikanie globalnych zmiennych JavaScript.
Ocena ryzyka
Ryzyko wycieku danych z hostów, do których administrator nie ma uprawnień, co narusza izolację uprawnień i może ujawnić wrażliwe informacje.
Rekomendacja
Zaleca się aktualizację Zabbix do wersji z poprawką oraz unikanie używania globalnych zmiennych JavaScript w skryptach.
Inne podatności w Zabbix
Zobacz wszystkie- CVE-2026-23938Niskie
Zautentykowany administrator może doprowadzić do awarii serwera lub proxy Zabbix, tworząc specjalnie spreparowane skrypty JavaScript dla elementów preprocessing/script, co prowadzi do odmowy usługi.
- CVE-2026-23937Średnie
Akcja host.get w API Zabbix może być wykorzystana przez uwierzytelnionych użytkowników do wyodrębnienia klucza PSK hosta, co może prowadzić do utraty integralności danych.
- CVE-2026-23935Średnie
Administrator Zabbix może odczytać pamięć poza dozwolonym obszarem, wykorzystując błąd w logice HttpRequest w skryptach/preprocessingu JavaScript, co prowadzi do potencjalnej utraty poufności.
- CVE-2026-23934Średnie
Uwierzytelniony użytkownik może spowodować nieproporcjonalnie duże obciążenie CPU na serwerze frontendu, wysyłając specjalnie spreparowane żądania do akcji validate.api.exists, co prowadzi do potencjalnej odmowy usługi.
- CVE-2026-23931Średnie
Akcja frontendu validate.api.exists może być wykorzystana przez uwierzytelnionych użytkowników do wyodrębnienia jawnych wartości makr użytkownika, co prowadzi do potencjalnej utraty poufności.
- CVE-2026-23930Średnie
Nieuwierzytelniony użytkownik może spowodować nieproporcjonalnie duże obciążenie CPU na serwerze frontendu, wysyłając specjalnie spreparowane żądania do akcji popup.testtriggerexpr, co prowadzi do potencjalnej odmowy usługi.
- CVE-2026-23922Niskie
Pole OAuth 'Client secret' w mediach e-mail nie może być odczytane po zapisaniu, ale Super Admin może je ujawnić, ustawiając złośliwy 'Token endpoint'. Wprowadzono zmiany resetujące client secret przy zmianie token endpoint.
- CVE-2026-1199Średnie
Mechanizm blokady logowania w API i frontendzie Zabbix ma wadę, przez którą kilka nieudanych prób logowania wysłanych jednocześnie nie jest poprawnie liczonych do licznika blokad, co może pozwolić na więcej prób odgadnięcia hasła niż zamierzono.
- CVE-2026-23921Wysokie
Użytkownik Zabbix z niskimi uprawnieniami i dostępem do API może wykorzystać podatność blind SQL injection w pliku include/classes/api/CApiService.php, wykonując dowolne zapytania SQL przez parametr sortfield. Mimo że wyniki nie są zwracane bezpośrednio, atakujący może wyeksfiltrować dane z bazy technikami czasowymi, co może prowadzić do ujawnienia identyfikatorów sesji i przejęcia konta administratora.
- CVE-2026-23920Wysokie
Walidacja danych wejściowych dla skryptów akcji hosta i zdarzeń w Zabbix używa wyrażeń regularnych (ustawianych przez administratora), ale działa w trybie wieloliniowym. Jeśli w walidacji użyto kotwic ^ i $, wstrzyknięty znak nowej linii pozwala uwierzytelnionym użytkownikom ominąć sprawdzenie i wstrzyknąć komendy powłoki.
Oryginalny opis (angielski, źródło NVD)
For performance reasons Zabbix Server/Proxy reuses JavaScript (Duktape) contexts (used in script items, JavaScript reprocessing, Webhooks). This can lead to confidentiality loss where a regular (non-super) Zabbix administrator leaks data for hosts they do not have access to. A fix has been released that makes the built in Zabbix JavaScript objects read-only, but please be advised that usage of global JavaScript variables is not recommended because their content could be leaked. More information <a href='https://www.zabbix.com/documentation/7.4/en/manual/installation/known_issues#preprocessing-global-variables-are-unsafe'>in Zabbix documentation</a>.