CVE-2026-30805
KrytyczneStreszczenie
Podatność na niebezpieczną domyślną inicjalizację zasobów umożliwia obejście uwierzytelnienia poprzez dostęp do API. Problem ten dotyczy Pandora FMS w wersjach od 777 do 800.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do systemu, co może prowadzić do wycieku danych lub nieautoryzowanych działań w systemie.
Rekomendacja
Zaleca się aktualizację Pandora FMS do najnowszej wersji oraz przegląd konfiguracji zabezpieczeń API, aby zminimalizować ryzyko.
Inne podatności w Pandora FMS
Zobacz wszystkie- CVE-2026-64946Wysokie
W module File Manager w Pandora FMS występuje łańcuch podatności CSRF i nieograniczonego przesyłania plików SVG, co umożliwia trwałe wstrzyknięcie skryptu (stored XSS). W efekcie możliwe jest wykradzenie ciasteczek sesyjnych i przejęcie konta administratora. Podatność dotyczy wersji od 777 wzwyż.
- CVE-2026-34190Średnie
Podatność CSRF umożliwia nieautoryzowane usunięcie poleceń alertów poprzez sekwencyjne, niezweryfikowane żądania GET, gdy uwierzytelniony administrator odwiedzi złośliwą stronę. Dotyczy Pandora FMS od wersji 777.
- CVE-2026-34189Średnie
Podatność CSRF umożliwia nieautoryzowane usunięcie odpowiedzi na zdarzenia poprzez sfałszowane żądanie GET, gdy uwierzytelniony administrator odwiedzi złośliwą stronę. Dotyczy Pandora FMS od wersji 777.
- CVE-2026-30810Wysokie
Podatność typu Server-Side Request Forgery umożliwia eskalację uprawnień za pośrednictwem rozszerzenia API Checker. Problem ten dotyczy Pandora FMS w wersjach od 777 do 800.
- CVE-2026-30808Wysokie
Podatność na fałszowanie sesji umożliwia przejęcie sesji za pomocą spreparowanego identyfikatora sesji. Problem ten dotyczy Pandora FMS w wersjach od 777 do 800.
- CVE-2026-34187Krytyczne
Podatność CVE-2026-34187 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co umożliwia atak typu SQL Injection poprzez parametr kontenera grafu. Problem ten dotyczy systemu Pandora FMS w wersjach od 777 do 800.
- CVE-2025-34088Wysokie
Podatność umożliwia uwierzytelnionym użytkownikom zdalne wykonanie dowolnych poleceń systemu operacyjnego w Pandora FMS w wersji 7.0NG i wcześniejszych. Problem występuje w skrypcie net_tools.php, gdzie parametr select_ips nie jest odpowiednio oczyszczany przed przekazaniem do poleceń systemowych, co pozwala na wstrzyknięcie poleceń.
- CVE-2026-75786Wysokie
Niesanityzowana konkatenacja parametru modułu w punkcie końcowym datasource w Grafanie umożliwia uwierzytelnioną ślepą iniekcję SQL. Dotyczy Pandora FMS od wersji 777.
- CVE-2026-64950Wysokie
Brak walidacji wejścia i kodowania wyjścia na parametrze nazwy katalogu w funkcji Create Directory w Menedżerze plików umożliwia przechowywany XSS, wykonujący się bez interakcji użytkownika. Dotyczy Pandora FMS od wersji 777.
- CVE-2026-64949Wysokie
Niekompletna czarna lista rozszerzeń w module Menedżer plików umożliwia uwierzytelnionemu użytkownikowi przesyłanie i wykonywanie dowolnych plików .phar. Dotyczy Pandora FMS od wersji 777.
Oryginalny opis (angielski, źródło NVD)
Insecure Default Initialization of Resource vulnerability allows Authentication Bypass via API access. This issue affects Pandora FMS: from 777 through 800
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS