CVE-2026-64946
WysokieCVSS 7.4Streszczenie
W module File Manager w Pandora FMS występuje łańcuch podatności CSRF i nieograniczonego przesyłania plików SVG, co umożliwia trwałe wstrzyknięcie skryptu (stored XSS). W efekcie możliwe jest wykradzenie ciasteczek sesyjnych i przejęcie konta administratora. Podatność dotyczy wersji od 777 wzwyż.
Ocena ryzyka
Atakujący może przejąć konto administratora Pandora FMS, co daje pełną kontrolę nad systemem monitoringu i potencjalnie nad zarządzanymi zasobami. Stanowi to poważne ryzyko dla poufności i integralności całej infrastruktury.
Rekomendacja
Zaktualizuj Pandora FMS do najnowszej wersji, która usuwa tę podatność. Do czasu aktualizacji ogranicz dostęp do modułu File Manager i wdróż ochronę przed CSRF oraz walidację przesyłanych plików SVG.
Inne podatności w Pandora FMS
Zobacz wszystkie- CVE-2026-34190Średnie
Podatność CSRF umożliwia nieautoryzowane usunięcie poleceń alertów poprzez sekwencyjne, niezweryfikowane żądania GET, gdy uwierzytelniony administrator odwiedzi złośliwą stronę. Dotyczy Pandora FMS od wersji 777.
- CVE-2026-34189Średnie
Podatność CSRF umożliwia nieautoryzowane usunięcie odpowiedzi na zdarzenia poprzez sfałszowane żądanie GET, gdy uwierzytelniony administrator odwiedzi złośliwą stronę. Dotyczy Pandora FMS od wersji 777.
- CVE-2026-30810Wysokie
Podatność typu Server-Side Request Forgery umożliwia eskalację uprawnień za pośrednictwem rozszerzenia API Checker. Problem ten dotyczy Pandora FMS w wersjach od 777 do 800.
- CVE-2026-30808Wysokie
Podatność na fałszowanie sesji umożliwia przejęcie sesji za pomocą spreparowanego identyfikatora sesji. Problem ten dotyczy Pandora FMS w wersjach od 777 do 800.
- CVE-2026-34187Krytyczne
Podatność CVE-2026-34187 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co umożliwia atak typu SQL Injection poprzez parametr kontenera grafu. Problem ten dotyczy systemu Pandora FMS w wersjach od 777 do 800.
- CVE-2026-30805Krytyczne
Podatność na niebezpieczną domyślną inicjalizację zasobów umożliwia obejście uwierzytelnienia poprzez dostęp do API. Problem ten dotyczy Pandora FMS w wersjach od 777 do 800.
- CVE-2025-34088Wysokie
Podatność umożliwia uwierzytelnionym użytkownikom zdalne wykonanie dowolnych poleceń systemu operacyjnego w Pandora FMS w wersji 7.0NG i wcześniejszych. Problem występuje w skrypcie net_tools.php, gdzie parametr select_ips nie jest odpowiednio oczyszczany przed przekazaniem do poleceń systemowych, co pozwala na wstrzyknięcie poleceń.
- CVE-2026-75786Wysokie
Niesanityzowana konkatenacja parametru modułu w punkcie końcowym datasource w Grafanie umożliwia uwierzytelnioną ślepą iniekcję SQL. Dotyczy Pandora FMS od wersji 777.
- CVE-2026-64950Wysokie
Brak walidacji wejścia i kodowania wyjścia na parametrze nazwy katalogu w funkcji Create Directory w Menedżerze plików umożliwia przechowywany XSS, wykonujący się bez interakcji użytkownika. Dotyczy Pandora FMS od wersji 777.
- CVE-2026-64949Wysokie
Niekompletna czarna lista rozszerzeń w module Menedżer plików umożliwia uwierzytelnionemu użytkownikowi przesyłanie i wykonywanie dowolnych plików .phar. Dotyczy Pandora FMS od wersji 777.
Oryginalny opis (angielski, źródło NVD)
A chained CSRF and unrestricted SVG file upload vulnerability in the File Manager module allows stored Cross-Site Scripting, enabling session cookie exfiltration and administrator account takeover. This issue affects Pandora FMS: from 777 onwards.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS