CVE-2026-64947
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Połączona podatność na obejście CSRF i nieograniczone przesyłanie plików w Menedżerze plików wtyczek umożliwia atakującemu przesyłanie i wykonywanie dowolnego kodu PHP, co prowadzi do zdalnego wykonania kodu. Problem dotyczy Pandora FMS od wersji 777.
Ocena ryzyka
Ryzyko obejmuje pełne przejęcie serwera, co może prowadzić do naruszenia danych, przerwania działania usług lub dalszych ataków.
Rekomendacja
Zaleca się natychmiastową aktualizację Pandora FMS do wersji z poprawką oraz ograniczenie dostępu do Menedżera plików wtyczek.
Inne podatności w Pandora FMS
Zobacz wszystkie- CVE-2026-64946Wysokie
W module File Manager w Pandora FMS występuje łańcuch podatności CSRF i nieograniczonego przesyłania plików SVG, co umożliwia trwałe wstrzyknięcie skryptu (stored XSS). W efekcie możliwe jest wykradzenie ciasteczek sesyjnych i przejęcie konta administratora. Podatność dotyczy wersji od 777 wzwyż.
- CVE-2026-34190Średnie
Podatność CSRF umożliwia nieautoryzowane usunięcie poleceń alertów poprzez sekwencyjne, niezweryfikowane żądania GET, gdy uwierzytelniony administrator odwiedzi złośliwą stronę. Dotyczy Pandora FMS od wersji 777.
- CVE-2026-34189Średnie
Podatność CSRF umożliwia nieautoryzowane usunięcie odpowiedzi na zdarzenia poprzez sfałszowane żądanie GET, gdy uwierzytelniony administrator odwiedzi złośliwą stronę. Dotyczy Pandora FMS od wersji 777.
- CVE-2026-30810Wysokie
Podatność typu Server-Side Request Forgery umożliwia eskalację uprawnień za pośrednictwem rozszerzenia API Checker. Problem ten dotyczy Pandora FMS w wersjach od 777 do 800.
- CVE-2026-30808Wysokie
Podatność na fałszowanie sesji umożliwia przejęcie sesji za pomocą spreparowanego identyfikatora sesji. Problem ten dotyczy Pandora FMS w wersjach od 777 do 800.
- CVE-2026-34187Krytyczne
Podatność CVE-2026-34187 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co umożliwia atak typu SQL Injection poprzez parametr kontenera grafu. Problem ten dotyczy systemu Pandora FMS w wersjach od 777 do 800.
- CVE-2026-30805Krytyczne
Podatność na niebezpieczną domyślną inicjalizację zasobów umożliwia obejście uwierzytelnienia poprzez dostęp do API. Problem ten dotyczy Pandora FMS w wersjach od 777 do 800.
- CVE-2025-34088Wysokie
Podatność umożliwia uwierzytelnionym użytkownikom zdalne wykonanie dowolnych poleceń systemu operacyjnego w Pandora FMS w wersji 7.0NG i wcześniejszych. Problem występuje w skrypcie net_tools.php, gdzie parametr select_ips nie jest odpowiednio oczyszczany przed przekazaniem do poleceń systemowych, co pozwala na wstrzyknięcie poleceń.
- CVE-2026-75786Wysokie
Niesanityzowana konkatenacja parametru modułu w punkcie końcowym datasource w Grafanie umożliwia uwierzytelnioną ślepą iniekcję SQL. Dotyczy Pandora FMS od wersji 777.
- CVE-2026-64950Wysokie
Brak walidacji wejścia i kodowania wyjścia na parametrze nazwy katalogu w funkcji Create Directory w Menedżerze plików umożliwia przechowywany XSS, wykonujący się bez interakcji użytkownika. Dotyczy Pandora FMS od wersji 777.
Oryginalny opis (angielski, źródło NVD)
A chained CSRF bypass and unrestricted file upload vulnerability in the Plugin File Manager allows an attacker to upload and execute arbitrary PHP code, resulting in Remote Code Execution. This issue affects Pandora FMS: from 777 onwards.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS