CVE-2026-48548
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Nagios Core przed 4.5.12 zawiera podatność CSRF w cmd.cgi, gdzie mechanizm ochrony przechodzi walidację, gdy brak ciasteczka NagFormId. Atakujący może wysłać złośliwe żądanie POST, aby wykonać dowolne komendy Nagios jako uwierzytelniony użytkownik.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane wykonanie komend Nagios, co może prowadzić do zakłócenia działania monitorowania lub zmiany konfiguracji.
Rekomendacja
Zaleca się aktualizację Nagios Core do wersji 4.5.12 lub nowszej, która naprawia tę podatność.
Inne podatności w Nagios
Zobacz wszystkie- CVE-2016-10089Wysokie
Nagios w wersji 4.3.2 i wcześniejszych umożliwia lokalnym użytkownikom uzyskanie uprawnień roota poprzez atak z wykorzystaniem twardego linku na pliku skryptu inicjalizacyjnego Nagios.
- CVE-2026-48549Średnie
Nagios Core przed 4.5.13 i Nagios XI przed 2026R1.5 zawiera podatność CSRF w cmd.cgi. Ochrona oparta na podwójnym wysyłaniu ciasteczek może zostać ominięta, gdy brak ciasteczka Cookie, poprzez podanie pasujących wartości NagFormId i nagFormId w treści POST.
Oryginalny opis (angielski, źródło NVD)
Nagios Core before 4.5.12 contains a cross-site request forgery vulnerability in cmd.cgi where the CSRF protection mechanism passes validation when the NagFormId cookie is absent. Attackers can craft a malicious cross-site POST request to execute arbitrary Nagios commands as a currently authenticated user without their knowledge or consent.