CVE-2025-58443

FOG to system do klonowania, obrazowania i zarządzania inwentarzem. Przed wersjami 1.5.10.2253 i 1.6.0-RC-1 uwierzytelniony użytkownik API z uType=1 posiadający token API użytkownika i globalny token API FOG może użyć PUT /fog/storagenode/{id}/edit do modyfikacji pól użytkownika, hasła i ftppath węzła Storage Node, ponieważ API nie wymusza roli administratora. Przy włączonej replikacji FOGImageReplicator wstawia te pola do polecenia lftp wykonywanego przez proc_open() przez usługę root, co pozwala na wykonanie poleceń jako root.

FOG to darmowy system do klonowania, obrazowania, ratowania i zarządzania inwentarzem. W wersjach przed 1.5.10.1870 punkt końcowy adInfo() w packages/web/lib/fog/fogpage.class.php zwracał wartość FOG_AD_DEFAULT_PASSWORD w polu JSON domainpass i mógł być wywołany przez node=ipxe bez uwierzytelnionej sesji. Odpowiedź była również wykorzystywana przez interfejsy konfiguracji Active Directory hosta i grupy. Mogło to ujawnić domyślne poświadczenia do przyłączania do domeny zdalnemu nieuwierzytelnionemu żądającemu. Podatność naprawiono w wersji 1.5.10.1870.

FOG (system do klonowania/obrazowania/zapasów) przed wersjami 1.5.10.1832 i 1.6.0-beta.2313 zawiera podatność na wstrzykiwanie HTML/JavaScript. Nieuwierzytelniony atakujący znający adres MAC hosta może przesłać złośliwe dane do /service/inventory.php, które są przechowywane w bazie. Gdy administrator otworzy zakładkę Group Inventory, kod wykona się w jego przeglądarce.

Podatność w FOG (system zarządzania obrazami i inwentaryzacją). Nieuwierzytelniony atakujący może zdalnie wyczyścić klucze AES i usunąć zaplanowane zadania zarządzania energią poprzez żądanie HTTP GET.

Podatność XSS w FOG (open-source narzędzie do klonowania/obrazowania) pozwala nieuwierzytelnionemu atakującemu, znającemu adres MAC hosta, na wstrzyknięcie złośliwego JavaScriptu poprzez parametr sysproduct. Ładunek wykonuje się w przeglądarce administratora podczas przeglądania raportów inwentaryzacji.

Podatność w FOG, wolnym systemie do klonowania, obrazowania, ratowania i zarządzania inwentarzem. Przed wersjami 1.5.10.1832 i 1.6.0-beta.2313, nieuwierzytelniony endpoint usługi inwentaryzacji (`/service/inventory.php`) przechowuje wartości dostarczone przez klienta bez sanityzacji, a strona zarządzania inwentarzem wyświetla statyczne pola inwentarza bez kodowania wyjścia, co umożliwia trwałe XSS w przeglądarce administratora.