CVE-2025-34088
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 91 - wyżej niż 91% wszystkich znanych CVE
Streszczenie
Podatność umożliwia uwierzytelnionym użytkownikom zdalne wykonanie dowolnych poleceń systemu operacyjnego w Pandora FMS w wersji 7.0NG i wcześniejszych. Problem występuje w skrypcie net_tools.php, gdzie parametr select_ips nie jest odpowiednio oczyszczany przed przekazaniem do poleceń systemowych, co pozwala na wstrzyknięcie poleceń.
Ocena ryzyka
Atakujący z uwierzytelnieniem może przejąć kontrolę nad serwerem Pandora FMS, wykonać dowolne polecenia, zmodyfikować dane lub zakłócić działanie monitorowanej infrastruktury IT.
Rekomendacja
Należy natychmiast zaktualizować Pandora FMS do wersji nowszej niż 7.0NG, która zawiera poprawkę usuwającą podatność. Do czasu aktualizacji ograniczyć dostęp do interfejsu administracyjnego tylko dla zaufanych użytkowników.
Inne podatności w Pandora FMS
Zobacz wszystkie- CVE-2026-64946Wysokie
W module File Manager w Pandora FMS występuje łańcuch podatności CSRF i nieograniczonego przesyłania plików SVG, co umożliwia trwałe wstrzyknięcie skryptu (stored XSS). W efekcie możliwe jest wykradzenie ciasteczek sesyjnych i przejęcie konta administratora. Podatność dotyczy wersji od 777 wzwyż.
- CVE-2026-34190Średnie
Podatność CSRF umożliwia nieautoryzowane usunięcie poleceń alertów poprzez sekwencyjne, niezweryfikowane żądania GET, gdy uwierzytelniony administrator odwiedzi złośliwą stronę. Dotyczy Pandora FMS od wersji 777.
- CVE-2026-34189Średnie
Podatność CSRF umożliwia nieautoryzowane usunięcie odpowiedzi na zdarzenia poprzez sfałszowane żądanie GET, gdy uwierzytelniony administrator odwiedzi złośliwą stronę. Dotyczy Pandora FMS od wersji 777.
- CVE-2026-30810Wysokie
Podatność typu Server-Side Request Forgery umożliwia eskalację uprawnień za pośrednictwem rozszerzenia API Checker. Problem ten dotyczy Pandora FMS w wersjach od 777 do 800.
- CVE-2026-30808Wysokie
Podatność na fałszowanie sesji umożliwia przejęcie sesji za pomocą spreparowanego identyfikatora sesji. Problem ten dotyczy Pandora FMS w wersjach od 777 do 800.
- CVE-2026-34187Krytyczne
Podatność CVE-2026-34187 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co umożliwia atak typu SQL Injection poprzez parametr kontenera grafu. Problem ten dotyczy systemu Pandora FMS w wersjach od 777 do 800.
- CVE-2026-30805Krytyczne
Podatność na niebezpieczną domyślną inicjalizację zasobów umożliwia obejście uwierzytelnienia poprzez dostęp do API. Problem ten dotyczy Pandora FMS w wersjach od 777 do 800.
- CVE-2026-75786Wysokie
Niesanityzowana konkatenacja parametru modułu w punkcie końcowym datasource w Grafanie umożliwia uwierzytelnioną ślepą iniekcję SQL. Dotyczy Pandora FMS od wersji 777.
- CVE-2026-64950Wysokie
Brak walidacji wejścia i kodowania wyjścia na parametrze nazwy katalogu w funkcji Create Directory w Menedżerze plików umożliwia przechowywany XSS, wykonujący się bez interakcji użytkownika. Dotyczy Pandora FMS od wersji 777.
- CVE-2026-64949Wysokie
Niekompletna czarna lista rozszerzeń w module Menedżer plików umożliwia uwierzytelnionemu użytkownikowi przesyłanie i wykonywanie dowolnych plików .phar. Dotyczy Pandora FMS od wersji 777.
Oryginalny opis (angielski, źródło NVD)
An authenticated remote code execution vulnerability exists in Pandora FMS version 7.0NG and earlier. The net_tools.php functionality allows authenticated users to execute arbitrary OS commands via the select_ips parameter when performing network tools operations, such as pinging. This occurs because user input is not properly sanitized before being passed to system commands, enabling command injection.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS