CVE-2021-27676
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Centreon w wersji 20.10.2 zawiera podatność na trwały atak XSS. Parametry dep_description i dep_name są podatne na wstrzykiwanie skryptów, co wymaga zalogowania i przejścia do strony Konfiguracja > Powiadomienia > Hosty.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarkach innych administratorów, prowadząc do kradzieży sesji, modyfikacji konfiguracji lub kradzieży danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Centreon do wersji 20.10.3 lub nowszej, która usuwa tę podatność.
Inne podatności w Centreon
Zobacz wszystkie- CVE-2026-14453Krytyczne
Krytyczna podatność Server-Side Template Injection (SSTI) w module centreon-open-tickets Centreon. Pole message_confirm jest przechowywane bez sanityzacji i renderowane przez Smarty bez włączonej polityki bezpieczeństwa, co pozwala uwierzytelnionemu użytkownikowi na wstrzyknięcie i wykonanie dowolnego kodu na serwerze.
- CVE-2026-11587Wysokie
W Centreon występuje podatność SQL injection, która pozwala uwierzytelnionemu użytkownikowi posiadającemu dostęp do zarządzania ACL na odczyt i modyfikację bazy danych Centreon. Podatność umożliwia manipulację danymi w bazie poza zamierzonymi uprawnieniami użytkownika.
Oryginalny opis (angielski, źródło NVD)
Centreon version 20.10.2 is affected by a cross-site scripting (XSS) vulnerability. The dep_description (Dependency Description) and dep_name (Dependency Name) parameters are vulnerable to stored XSS. A user has to log in and go to the Configuration > Notifications > Hosts page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS