Podatności FOG
4 znanych podatności CVE w FOG, przetłumaczonych i ocenionych.
- CVE-2026-47689Średnie
FOG (system do klonowania/obrazowania/zapasów) przed wersjami 1.5.10.1832 i 1.6.0-beta.2313 zawiera podatność na wstrzykiwanie HTML/JavaScript. Nieuwierzytelniony atakujący znający adres MAC hosta może przesłać złośliwe dane do /service/inventory.php, które są przechowywane w bazie. Gdy administrator otworzy zakładkę Group Inventory, kod wykona się w jego przeglądarce.
- CVE-2026-47688Wysokie
Podatność w FOG (system zarządzania obrazami i inwentaryzacją). Nieuwierzytelniony atakujący może zdalnie wyczyścić klucze AES i usunąć zaplanowane zadania zarządzania energią poprzez żądanie HTTP GET.
- CVE-2026-47687Wysokie
Podatność XSS w FOG (open-source narzędzie do klonowania/obrazowania) pozwala nieuwierzytelnionemu atakującemu, znającemu adres MAC hosta, na wstrzyknięcie złośliwego JavaScriptu poprzez parametr sysproduct. Ładunek wykonuje się w przeglądarce administratora podczas przeglądania raportów inwentaryzacji.
- CVE-2026-47685Wysokie
Podatność w FOG, wolnym systemie do klonowania, obrazowania, ratowania i zarządzania inwentarzem. Przed wersjami 1.5.10.1832 i 1.6.0-beta.2313, nieuwierzytelniony endpoint usługi inwentaryzacji (`/service/inventory.php`) przechowuje wartości dostarczone przez klienta bez sanityzacji, a strona zarządzania inwentarzem wyświetla statyczne pola inwentarza bez kodowania wyjścia, co umożliwia trwałe XSS w przeglądarce administratora.