CVE-2026-47689
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
FOG (system do klonowania/obrazowania/zapasów) przed wersjami 1.5.10.1832 i 1.6.0-beta.2313 zawiera podatność na wstrzykiwanie HTML/JavaScript. Nieuwierzytelniony atakujący znający adres MAC hosta może przesłać złośliwe dane do /service/inventory.php, które są przechowywane w bazie. Gdy administrator otworzy zakładkę Group Inventory, kod wykona się w jego przeglądarce.
Ocena ryzyka
Atakujący może przejąć sesję administratora, wykraść dane lub rozprzestrzenić złośliwe oprogramowanie w sieci.
Rekomendacja
Zaktualizuj FOG do wersji 1.5.10.1832 lub 1.6.0-beta.2313 (lub nowszej).
Inne podatności w FOG
Zobacz wszystkie- CVE-2026-47688Wysokie
Podatność w FOG (system zarządzania obrazami i inwentaryzacją). Nieuwierzytelniony atakujący może zdalnie wyczyścić klucze AES i usunąć zaplanowane zadania zarządzania energią poprzez żądanie HTTP GET.
- CVE-2026-47687Wysokie
Podatność XSS w FOG (open-source narzędzie do klonowania/obrazowania) pozwala nieuwierzytelnionemu atakującemu, znającemu adres MAC hosta, na wstrzyknięcie złośliwego JavaScriptu poprzez parametr sysproduct. Ładunek wykonuje się w przeglądarce administratora podczas przeglądania raportów inwentaryzacji.
- CVE-2026-47685Wysokie
Podatność w FOG, wolnym systemie do klonowania, obrazowania, ratowania i zarządzania inwentarzem. Przed wersjami 1.5.10.1832 i 1.6.0-beta.2313, nieuwierzytelniony endpoint usługi inwentaryzacji (`/service/inventory.php`) przechowuje wartości dostarczone przez klienta bez sanityzacji, a strona zarządzania inwentarzem wyświetla statyczne pola inwentarza bez kodowania wyjścia, co umożliwia trwałe XSS w przeglądarce administratora.
Oryginalny opis (angielski, źródło NVD)
FOG is a free open-source cloning/imaging/rescue suite/inventory management system. Prior to versions 1.5.10.1832 and 1.6.0-beta.2313, the `buildRow()` method in `fogpage.class.php` substitutes data values into HTML table cell templates using `str_replace()` without any HTML escaping. An unauthenticated attacker who knows any registered host's MAC address can POST malicious inventory values (e.g. `sysproduct`, `sysserial`) to `/service/inventory.php`, which stores them in the database. When an administrator opens the Group Inventory tab, the payload renders as executable HTML/JavaScript in the admin's browser. Versions 1.5.10.1832 and 1.6.0-beta.2313 fix the issue.