Podatności Nagios Fusion

Nagios Fusion w wersjach przed 4.2.0 zawiera podatność typu stored XSS podczas dodawania lub konfigurowania ustawień e-mail. Nieoczyszczone dane wejściowe użytkownika mogą być zapisane i później wyświetlone w interfejsie administracyjnym, powodując wykonanie JavaScript w przeglądarce użytkownika przeglądającego podatną stronę. Atakujący mogący dodawać lub modyfikować ustawienia SMTP/e-mail może trwale zapisać złośliwy kod.

Nagios Fusion w wersjach przed 4.2.0 zawiera podatność typu stored XSS w konfiguracji serwera uwierzytelniania LDAP/AD. Nieoczyszczone dane wejściowe użytkownika mogą być zapisane i później wyświetlone w interfejsie administracyjnym, powodując wykonanie JavaScript w przeglądarce użytkownika przeglądającego podatną stronę. Atakujący mogący dodawać serwery uwierzytelniania przez integrację LDAP/AD może trwale zapisać złośliwy kod.

Nagios Fusion w wersjach przed 4.2.0 zawiera podatność typu reflected XSS w procesie konfiguracji klucza licencji. Podatność może skutkować wykonaniem skryptu kontrolowanego przez atakującego w przeglądarce użytkownika, który kliknie spreparowany URL. Choć serwer aplikacji nie jest bezpośrednio uszkadzany, kompromitacja przeglądarki może prowadzić do kradzieży poświadczeń/sesji i nieautoryzowanych działań administracyjnych.

Nagios Fusion w wersjach przed 4.1.5 jest podatny na cross-site scripting (XSS) poprzez parametr "fusionwindow". Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios Fusion w wersjach przed 4.0.1 jest podatny na cross-site scripting (XSS) poprzez strony Users i Servers. Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.