CVE-2026-23920

W Zabbix 7.4 klucz kryptograficzny używany do podpisywania sesji Frontend został błędnie zapisany w seedzie bazy danych. Obecnie jedyny znany scenariusz wykorzystania dotyczy wdrożeń korzystających zarówno z uwierzytelniania SAML, jak i użytkowników gości. W takich przypadkach klucz może zostać użyty do sfałszowania ważnych ciasteczek sesji, co może prowadzić do nieautoryzowanego dostępu. Dla innych wdrożeń Zabbix nie ma znanego wpływu.

W Zabbix przed wersją 2.2.14 oraz 3.0 przed wersją 3.0.4 występuje podatność na atak typu SQL injection, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr toggle_ids w pliku latest.php.

Formularz OAuth dla typu mediów e-mail przekazuje wartość punktu końcowego autoryzacji do window.open() bez walidacji schematu URL, co pozwala na wykonanie adresu javascript: w przeglądarce. Spreparowana konfiguracja typu mediów, dostarczona jako plik importu, uruchamia dowolny JavaScript w kontekście Super Admina, który wyraża zgodę.

Skrypt odbiornika pułapek SNMP w Perlu dostarczany z Zabbix nie neutralizuje prawidłowo separatora rekordów ZBXTRAP w treści pułapki. Osoba mogąca wysyłać pułapki SNMP może wstrzyknąć rekord dotyczący innego hosta, co prowadzi do utraty integralności.

Zabbix Server i Proxy akceptują wiadomość heartbeat aktywnego agenta niezależnie od skonfigurowanego uwierzytelniania PSK lub certyfikatem. Osoba z dostępem do portu trappera Zabbix może zgłosić dowolny host używający aktywnego agenta jako dostępny, co prowadzi do utraty integralności.

Wyszukiwanie hostów w interfejsie frontend pozwala filtrować po polach, które nie są wyświetlane, w tym po zapisanych poświadczeniach IPMI i PSK. Użytkownik z prawem odczytu może odgadnąć poświadczenie i na podstawie wyniku wyszukiwania ustalić, czy odgadnięcie było prawidłowe, co pozwala mu je odkryć.

Silnik przetwarzania wstępnego JavaScript (Duktape) na serwerze Zabbix ma podatność, w której ograniczony administrator może odczytać surowe dane sterty, co potencjalnie prowadzi do wycieku danych z innych uruchomionych preprocesorów niedostępnych dla tego administratora.

Zautentykowany administrator może doprowadzić do awarii serwera lub proxy Zabbix, tworząc specjalnie spreparowane skrypty JavaScript dla elementów preprocessing/script, co prowadzi do odmowy usługi.

Akcja host.get w API Zabbix może być wykorzystana przez uwierzytelnionych użytkowników do wyodrębnienia klucza PSK hosta, co może prowadzić do utraty integralności danych.

Administrator Zabbix może odczytać pamięć poza dozwolonym obszarem, wykorzystując błąd w logice HttpRequest w skryptach/preprocessingu JavaScript, co prowadzi do potencjalnej utraty poufności.