CVE-2025-15026

W Centreon Infra Monitoring (moduły eksportu Awie) występuje podatność na wstrzyknięcie SQL, która pozwala nieuwierzytelnionemu użytkownikowi na wykonanie zapytań SQL. Problem dotyczy wersji: od 25.10.0 przed 25.10.2, od 24.10.0 przed 24.10.3, od 24.04.0 przed 24.04.3.

W parametrach kopii zapasowej w Centreon Infra Monitoring użytkownik z wysokimi uprawnieniami może dodać własne instrukcje do konfiguracji backupu. Brak neutralizacji specjalnych elementów w poleceniach systemu operacyjnego umożliwia wstrzyknięcie komend OS (OS Command Injection). Podatność dotyczy wersji od 25.10.0 przed 25.10.2, od 24.10.0 przed 24.10.15 oraz od 24.04.0 przed 24.04.19.

Podatność na wstrzykiwanie poleceń systemu operacyjnego w Centreon Infra Monitoring (w module konfiguracji przeładowania pollera). Na stronie parametrów pollera użytkownik z wysokimi uprawnieniami może dołączyć własne instrukcje do polecenia przeładowania pollera.

Centreon Infra Monitoring w wersjach 24.10.0 przed 24.10.5, 24.04.0 przed 24.04.5 oraz 23.10.0 przed 23.10.4 jest podatny na przechowywany cross-site scripting (Stored XSS) w module reguł powiadomień i otwartych zgłoszeń. Podatność wynika z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych i może być wykorzystana przez użytkowników o podwyższonych uprawnieniach.

Centreon Infra Monitoring (strona konfiguracji Hostgroup) zawiera podatność na przechowywany XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych, wykorzystywaną przez użytkowników z podwyższonymi uprawnieniami.

Podatność SQL Injection w module Open-tickets w Centreon Infra Monitoring pozwala użytkownikowi z podwyższonymi uprawnieniami na wstrzyknięcie kodu SQL. Problem dotyczy wersji 24.10.0–24.10.4, 24.04.0–24.04.4 oraz 23.10.0–23.10.3.

Podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron (XSS) w Centreon Infra Monitoring (moduły Services Meta-services) pozwala użytkownikom o podwyższonych uprawnieniach na wstrzyknięcie trwałego skryptu XSS. Problem dotyczy wersji od 24.10.0 przed 24.10.9, od 24.04.0 przed 24.04.16 oraz od 23.10.0 przed 23.10.26.

Podatność Stored XSS w Centreon Infra Monitoring (moduły planowania przestojów). Wersje: od 24.10.0 przed 24.10.13, od 24.04.0 przed 24.04.18, od 23.10.0 przed 23.10.28. Brak neutralizacji danych wejściowych.

Podatność typu Stored XSS w Centreon Infra Monitoring (moduły konfiguracji Commands Connectors) umożliwia atak XSS przez użytkowników z podwyższonymi uprawnieniami. Problem dotyczy wersji Infra Monitoring: od 24.10.0 przed 24.10.13, od 24.04.0 przed 24.04.18, od 23.10.0 przed 23.10.28.

Podatność typu Stored XSS w Centreon Infra Monitoring (moduły konfiguracji ACL Action access) umożliwia atak XSS przez użytkowników z podwyższonymi uprawnieniami. Problem dotyczy wersji Infra Monitoring: od 24.10.0 przed 24.10.13, od 24.04.0 przed 24.04.18, od 23.10.0 przed 23.10.28.