CVE-2026-8833
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Niewłaściwa neutralizacja znaków zakodowanych w HTML w funkcji walidacji URL w Checkmk w wersjach <2.5.0p5, <2.4.0p31, <2.3.0p48 oraz wszystkich 2.2.0 pozwala uwierzytelnionemu użytkownikowi na ominięcie walidacji URL i wstrzyknięcie złośliwych adresów URL, takich jak javascript: URI, co prowadzi do XSS.
Ocena ryzyka
Gdy inny użytkownik kliknie spreparowany link, złośliwy skrypt wykona się w jego przeglądarce, umożliwiając kradzież danych lub przejęcie sesji.
Rekomendacja
Zaleca się aktualizację Checkmk do wersji 2.5.0p5, 2.4.0p31, 2.3.0p48 lub nowszej.
Inne podatności w Checkmk
Zobacz wszystkie- CVE-2025-64998Wysokie
W Checkmk w wersjach <2.4.0p23, <2.3.0p45 oraz 2.2.0 występuje podatność związana z ujawnieniem sekretu podpisywania sesji. Administrator zdalnej witryny z włączoną synchronizacją konfiguracji może przejąć sesje na centralnej witrynie, fałszując ciasteczka sesyjne.
- CVE-2026-17548Średnie
Brak autoryzacji w Checkmk w wersjach <2.5.0p12, <2.4.0p36, <2.3.0p50 oraz wszystkich 2.2.0 pozwala uwierzytelnionemu użytkownikowi, który zna ID zadania w tle, na podgląd jego statusu i wyników.
- CVE-2026-15576Średnie
W agent receiver Checkmk przed wersją 2.5.0p10 występuje problem z uwierzytelnianiem. Nieuwierzytelniony zdalny atakujący może ominąć weryfikację certyfikatów klienta w relay endpoints, podając stały identyfikator zastępczy w URL żądania. Ma to ograniczony wpływ na integralność i dostępność. Dotyczy tylko edycji Cloud, Ultimate i Ultimate MT.
- CVE-2026-7485Niskie
Podatność w Checkmk (wersje <2.5.0p2, <2.4.0p29, <2.3.0p47 oraz wszystkie 2.2.0) dotyczy nieprawidłowej autoryzacji w zamrożonych agregacjach BI. Uwierzytelniony użytkownik z ograniczoną widocznością hostów i usług może poznać nazwy i istnienie hostów oraz usług, do których nie ma autoryzacji.
- CVE-2026-15227Średnie
Brak autoryzacji w Checkmk przed wersjami 2.5.0p10, 2.4.0p35, 2.3.0p49 oraz 2.2.0 (EOL) pozwala uwierzytelnionemu użytkownikowi bez uprawnienia "Edytuj raporty innych" na modyfikowanie raportów należących do innych użytkowników.
- CVE-2026-8593Średnie
W Checkmk w wersjach 2.5.0 przed 2.5.0p9, 2.4.0 przed 2.4.0p34, 2.3.0 przed 2.3.0p49 oraz 2.2.0 (EOL) stwierdzono nieprawidłowe egzekwowanie uprawnień. Użytkownicy bez odpowiednich uprawnień mogą przeglądać i modyfikować pakiety BI oraz reguły.
- CVE-2026-14852Średnie
Podatność w Checkmk umożliwia lokalnemu nieuprzywilejowanemu użytkownikowi eskalację uprawnień do roota poprzez uruchomienie procesu podszywającego się pod instancję SAP HANA. Wtyczka mk_sap_hana, działająca z uprawnieniami roota, wyodrębnia identyfikatory instancji z listy procesów i używa ich do wykonania polecenia z podwyższonymi uprawnieniami.
- CVE-2026-9549Średnie
Trwałe XSS w wynikach aktywnych kontroli wykrywania usług w Checkmk w wersjach <2.5.0p5, <2.4.0p31, <2.3.0p48 oraz wszystkich 2.2.0 pozwala administratorowi konfigurującemu aktywne lub niestandardowe kontrole na wstrzyknięcie złośliwego HTML lub JavaScript do wyników kontroli.
- CVE-2026-8078Średnie
Trwałe XSS w dzienniku zmian ustawień globalnych w Checkmk w wersjach <2.5.0p5, <2.4.0p31, <2.3.0p48 oraz wszystkich 2.2.0 pozwala administratorowi zmieniającemu ustawienia globalne na przechowywanie złośliwego HTML lub JavaScript w komunikatach dziennika zmian.
- CVE-2026-7765Średnie
Checkmk przed wersją 2.5.0p5 zawiera podatność nieprawidłowej autoryzacji w widżecie User Messages na dashboardzie. Punkty końcowe pobierania wiadomości zwracają wiadomości twórcy dashboardu zamiast widza, co pozwala atakującemu znającemu ważny token publicznego dashboardu na odczytanie prywatnych wiadomości twórcy.
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of HTML-encoded characters in the URL validation function in Checkmk <2.5.0p5, <2.4.0p31, <2.3.0p48, and all 2.2.0 versions allows an authenticated user to bypass URL validation and inject malicious URLs such as javascript: URIs, resulting in cross-site scripting when another user interacts with the crafted link.