CVE-2025-34278
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Nagios Network Analyzer w wersjach starszych niż 2024R1 zawiera podatność typu stored cross-site scripting (XSS) na stronie Source Groups (menu kalkulatora percentyli). Atakujący może dostarczyć złośliwy ładunek, który jest przechowywany przez aplikację i później renderowany w kontekście innych użytkowników. Gdy ofiara wyświetli dotkniętą stronę, wstrzyknięty skrypt wykona się w kontekście jej przeglądarki.
Ocena ryzyka
Stored XSS może pozwolić atakującemu na kradzież sesji, przejęcie konta lub wykonanie działań w imieniu ofiary. Może to prowadzić do naruszenia bezpieczeństwa całej aplikacji.
Rekomendacja
Zaktualizuj Nagios Network Analyzer do wersji 2024R1 lub nowszej. Sprawdź, czy w systemie nie ma już wstrzykniętych złośliwych ładunków.
Inne podatności w Nagios Network Analyzer
Zobacz wszystkie- CVE-2025-34280Wysokie
Nagios Network Analyzer w wersjach przed 2024R2.0.1 zawiera podatność w funkcji zarządzania certyfikatami LDAP, gdzie operacja usuwania certyfikatu nie stosuje odpowiedniej sanityzacji danych wejściowych. Uwierzytelniony administrator może wywołać wykonanie poleceń na hoście w kontekście usługi aplikacji webowej, co prowadzi do zdalnego wykonania kodu z uprawnieniami usługi.
- CVE-2023-7319Średnie
Nagios Network Analyzer w wersjach przed 2024R1 jest podatny na cross-site scripting (XSS) poprzez menu Percentile Calculator. Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.
Oryginalny opis (angielski, źródło NVD)
Nagios Network Analyzer versions prior to 2024R1 contain a stored cross-site scripting (XSS) vulnerability in the Source Groups page (percentile calculator menu). An attacker can supply a malicious payload which is stored by the application and later rendered in the context of other users. When a victim views the affected page the injected script executes in the victim's browser context.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS