CVE-2026-48549
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Nagios Core przed 4.5.13 i Nagios XI przed 2026R1.5 zawiera podatność CSRF w cmd.cgi. Ochrona oparta na podwójnym wysyłaniu ciasteczek może zostać ominięta, gdy brak ciasteczka Cookie, poprzez podanie pasujących wartości NagFormId i nagFormId w treści POST.
Ocena ryzyka
Atakujący może wykonać dowolne komendy Nagios jako uwierzytelniony użytkownik, co może prowadzić do nieautoryzowanych zmian w konfiguracji monitorowania.
Rekomendacja
Zaleca się aktualizację Nagios Core do wersji 4.5.13 lub nowszej oraz Nagios XI do wersji 2026R1.5 lub nowszej.
Inne podatności w Nagios
Zobacz wszystkie- CVE-2016-10089Wysokie
Nagios w wersji 4.3.2 i wcześniejszych umożliwia lokalnym użytkownikom uzyskanie uprawnień roota poprzez atak z wykorzystaniem twardego linku na pliku skryptu inicjalizacyjnego Nagios.
- CVE-2026-48548Średnie
Nagios Core przed 4.5.12 zawiera podatność CSRF w cmd.cgi, gdzie mechanizm ochrony przechodzi walidację, gdy brak ciasteczka NagFormId. Atakujący może wysłać złośliwe żądanie POST, aby wykonać dowolne komendy Nagios jako uwierzytelniony użytkownik.
Oryginalny opis (angielski, źródło NVD)
Nagios Core before 4.5.13 and Nagios XI before 2026R1.5 contains a CSRF vulnerability in cmd.cgi. When no Cookie header is present, the double-submit cookie protection can be bypassed by supplying matching NagFormId and nagFormId values in the POST body, allowing a cross-site request to execute Nagios commands as a currently authenticated user.