CVE-2025-49641
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność w Zabbix pozwala zwykłemu użytkownikowi bez uprawnień do widoku Monitoring -> Problems na wywołanie akcji problem.view.refresh i pobranie listy aktywnych problemów.
Ocena ryzyka
Użytkownik z ograniczonymi uprawnieniami może uzyskać dostęp do informacji o problemach, które powinny być dla niego niedostępne, co może ujawnić dane o infrastrukturze.
Rekomendacja
Zaktualizuj Zabbix do wersji zawierającej poprawkę lub ogranicz dostęp do akcji problem.view.refresh dla użytkowników bez wymaganych uprawnień.
Inne podatności w Zabbix
Zobacz wszystkie- CVE-2026-23933Krytyczne
W Zabbix 7.4 klucz kryptograficzny używany do podpisywania sesji Frontend został błędnie zapisany w seedzie bazy danych. Obecnie jedyny znany scenariusz wykorzystania dotyczy wdrożeń korzystających zarówno z uwierzytelniania SAML, jak i użytkowników gości. W takich przypadkach klucz może zostać użyty do sfałszowania ważnych ciasteczek sesji, co może prowadzić do nieautoryzowanego dostępu. Dla innych wdrożeń Zabbix nie ma znanego wpływu.
- CVE-2016-10134Krytyczne
W Zabbix przed wersją 2.2.14 oraz 3.0 przed wersją 3.0.4 występuje podatność na atak typu SQL injection, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr toggle_ids w pliku latest.php.
- CVE-2026-59788Średnie
Formularz OAuth dla typu mediów e-mail przekazuje wartość punktu końcowego autoryzacji do window.open() bez walidacji schematu URL, co pozwala na wykonanie adresu javascript: w przeglądarce. Spreparowana konfiguracja typu mediów, dostarczona jako plik importu, uruchamia dowolny JavaScript w kontekście Super Admina, który wyraża zgodę.
- CVE-2026-59787Średnie
Skrypt odbiornika pułapek SNMP w Perlu dostarczany z Zabbix nie neutralizuje prawidłowo separatora rekordów ZBXTRAP w treści pułapki. Osoba mogąca wysyłać pułapki SNMP może wstrzyknąć rekord dotyczący innego hosta, co prowadzi do utraty integralności.
- CVE-2026-59786Średnie
Zabbix Server i Proxy akceptują wiadomość heartbeat aktywnego agenta niezależnie od skonfigurowanego uwierzytelniania PSK lub certyfikatem. Osoba z dostępem do portu trappera Zabbix może zgłosić dowolny host używający aktywnego agenta jako dostępny, co prowadzi do utraty integralności.
- CVE-2026-59785Średnie
Wyszukiwanie hostów w interfejsie frontend pozwala filtrować po polach, które nie są wyświetlane, w tym po zapisanych poświadczeniach IPMI i PSK. Użytkownik z prawem odczytu może odgadnąć poświadczenie i na podstawie wyniku wyszukiwania ustalić, czy odgadnięcie było prawidłowe, co pozwala mu je odkryć.
- CVE-2026-59782Średnie
Silnik przetwarzania wstępnego JavaScript (Duktape) na serwerze Zabbix ma podatność, w której ograniczony administrator może odczytać surowe dane sterty, co potencjalnie prowadzi do wycieku danych z innych uruchomionych preprocesorów niedostępnych dla tego administratora.
- CVE-2026-23938Średnie
Zautentykowany administrator może doprowadzić do awarii serwera lub proxy Zabbix, tworząc specjalnie spreparowane skrypty JavaScript dla elementów preprocessing/script, co prowadzi do odmowy usługi.
- CVE-2026-23937Średnie
Akcja host.get w API Zabbix może być wykorzystana przez uwierzytelnionych użytkowników do wyodrębnienia klucza PSK hosta, co może prowadzić do utraty integralności danych.
- CVE-2026-23935Średnie
Administrator Zabbix może odczytać pamięć poza dozwolonym obszarem, wykorzystując błąd w logice HttpRequest w skryptach/preprocessingu JavaScript, co prowadzi do potencjalnej utraty poufności.
Oryginalny opis (angielski, źródło NVD)
A regular Zabbix user with no permission to the Monitoring -> Problems view is still able to call the problem.view.refresh action and therefore still retrieve a list of active problems.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS