CVE-2026-86091

Funkcja NetworkInterface::getHost w ntopng przed wersją 3.0 pozwala zdalnym atakującym na spowodowanie awarii aplikacji poprzez dereferencję wskaźnika NULL, gdy pole, które powinno zawierać nazwę hosta lub adres IP, jest puste.

Ntopng w wersjach przed 3.0 umożliwia wykorzystanie podatności typu HTTP Response Splitting.

Podatność CSRF w ntopng w wersji 2.4 umożliwia zdalnym atakującym przejęcie uwierzytelnienia dowolnych użytkowników. Przykłady wykorzystania obejmują pliki admin/add_user.lua, admin/change_user_prefs.lua, admin/delete_user.lua oraz admin/password_reset.lua.

Podatność w ntopng do wersji 6.6 umożliwia przewidywanie identyfikatorów sesji HTTP, co może prowadzić do przejęcia sesji. Identyfikatory sesji są generowane przy użyciu słabego generatora pseudolosowego opartego na czasie, co czyni je deterministycznymi lub podatnymi na kolizje.

ntopng to internetowa aplikacja do monitorowania ruchu sieciowego. Przed wersją 6.7.260718 skrypty scripts/lua/rest/v2/get/system/configurations/list_available_backups.lua i download_backup.lua pozwalają każdemu uwierzytelnionemu użytkownikowi niebędącemu administratorem na listowanie i pobieranie kopii zapasowych konfiguracji systemu bez sprawdzenia uprawnień administratora. Ścieżka pobierania sięga do backup_config.export_backup, a prefs_dump_utils.build_prefs_dump_table obejmuje przestrzeń kluczy Redis ntopng.user.* w kopii zapasowej. Pobrana kopia może więc ujawnić hashe haseł lokalnych użytkowników oraz, gdy skonfigurowano, tokeny API, sekrety TOTP i dane poświadczeń WebAuthn, umożliwiając przejęcie konta poprzez użyteczne lub odzyskiwalne poświadczenia. Problem naprawiono w wersji 6.7.260718.

W ntopng przed wersją 6.7.260717 endpoint POST /lua/rest/v2/edit/system/edit_blacklist.lua nie sprawdza uprawnień administratora i wywołuje lists_utils.editList dla każdego uwierzytelnionego użytkownika. Parametry list_name, list_enabled, url i list_update pozwalają użytkownikowi bez uprawnień administratora przekierować pobieranie danych threat intelligence na treści kontrolowane przez atakującego, wyłączyć listy blokad lub zablokować zaplanowane aktualizacje.

W ntopng przed wersją 6.7.260717 endpointy skanowania podatności scripts/lua/rest/v2/add/host/to_scan.lua i scripts/lua/rest/v2/exec/host/schedule_vulnerability_scan.lua przyjmują parametr scan_ports bez kontroli uprawnień administratora i przepuszczają go przez validateSingleWord, który dopuszcza metaznaki powłoki. Parametr jest następnie łączony z poleceniem nmap i wykonywany przez ntop.execCmd lub ntop.execCmdAsync i popen.

ntopng przed wersją 6.7.260717 nie przeprowadza kontroli autoryzacji w punktach końcowych usuwania oraz w handlerach REST v2 dla odbiorców. Uwierzytelnieni użytkownicy niebędący administratorami mogą wysyłać żądania POST, aby nieodwracalnie usunąć wszystkie skonfigurowane punkty końcowe powiadomień i odbiorców, wyciszając wszystkie alerty.

ntopng to internetowa aplikacja do monitorowania ruchu sieciowego. W wersjach 6.7.0 do 6.7.260717 dwa punkty końcowe REST v2 zarządzające funkcją tagów/odznak — `POST /lua/rest/v2/delete/tag/tag.lua` i `POST /lua/rest/v2/edit/tag/tag.lua` — nie wykonują żadnej kontroli autoryzacji. Każdy uwierzytelniony użytkownik, w tym konto niebędące administratorem („nieuprzywilejowane”), może usunąć lub zmienić nazwę dowolnego tagu w systemie, w tym tagi utworzone przez administratora. Wersja 6.7.260718 zawiera poprawkę.