Katalog podatności CVE

Nagios Log Server w wersjach przed 2024R1 jest podatny na cross-site scripting (XSS) poprzez funkcję Create User. Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios Log Server w wersjach przed 2.1.14 jest podatny na cross-site scripting (XSS) poprzez stronę Snapshots. Niezaufana zawartość logów nie była bezpiecznie kodowana dla kontekstu wyjściowego, co pozwala danym kontrolowanym przez atakującego na wykonanie skryptu w przeglądarce ofiary w obrębie domeny aplikacji.

Nagios Network Analyzer w wersjach przed 2024R1 jest podatny na cross-site scripting (XSS) poprzez menu Percentile Calculator. Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2024R1.0.2 jest podatny na cross-site scripting (XSS) poprzez stronę Nagios Core Command Expansion. Niewystarczająca walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 2024R1 jest podatny na cross-site scripting (XSS) poprzez komponent Graph Explorer. Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.11.3 jest podatny na cross-site scripting (XSS) poprzez komponent Graph Explorer. Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.11.3 jest podatny na cross-site scripting (XSS) przez komponent Bandwidth Report. Niewystarczająca walidacja lub escapowanie danych wejściowych może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.11.3 jest podatny na atak typu cross-site scripting (XSS) poprzez narzędzie Bulk Modifications. Niewystarczająca walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios Fusion w wersjach przed 4.2.0 zawiera podatność typu stored XSS podczas dodawania lub konfigurowania ustawień e-mail. Nieoczyszczone dane wejściowe użytkownika mogą być zapisane i później wyświetlone w interfejsie administracyjnym, powodując wykonanie JavaScript w przeglądarce użytkownika przeglądającego podatną stronę. Atakujący mogący dodawać lub modyfikować ustawienia SMTP/e-mail może trwale zapisać złośliwy kod.

Nagios Fusion w wersjach przed 4.2.0 zawiera podatność typu stored XSS w konfiguracji serwera uwierzytelniania LDAP/AD. Nieoczyszczone dane wejściowe użytkownika mogą być zapisane i później wyświetlone w interfejsie administracyjnym, powodując wykonanie JavaScript w przeglądarce użytkownika przeglądającego podatną stronę. Atakujący mogący dodawać serwery uwierzytelniania przez integrację LDAP/AD może trwale zapisać złośliwy kod.

Nagios Fusion w wersjach przed 4.2.0 zawiera podatność typu reflected XSS w procesie konfiguracji klucza licencji. Podatność może skutkować wykonaniem skryptu kontrolowanego przez atakującego w przeglądarce użytkownika, który kliknie spreparowany URL. Choć serwer aplikacji nie jest bezpośrednio uszkadzany, kompromitacja przeglądarki może prowadzić do kradzieży poświadczeń/sesji i nieautoryzowanych działań administracyjnych.

Nagios XI w wersjach przed 5.11.3 jest podatny na cross-site scripting (XSS) oraz cross-site request forgery (CSRF) poprzez komponent Hypermap Replay. Atakujący może przesłać spreparowane dane wejściowe, które nie są prawidłowo walidowane ani escapowane, co pozwala na wstrzyknięcie złośliwego skryptu wykonującego się w kontekście przeglądarki ofiary (XSS). Dodatkowo komponent nie wymusza wystarczających zabezpieczeń anti-CSRF na operacjach zmieniających stan, umożliwiając atakującemu nakłonienie uwierzytelnionych użytkowników do wykonania niechcianych akcji.

Nagios XI w wersjach przed 5.8.9 jest podatny na cross-site scripting (XSS) w funkcji sprawdzania aktualizacji. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.8.9 jest podatny na cross-site scripting (XSS) poprzez tekst błędu Apply Configuration. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.8.9 jest podatny na cross-site scripting (XSS) w komponencie BPI poprzez pole info URL. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.7.3 jest podatny na cross-site scripting (XSS) poprzez stronę Manage Users w interfejsie administracyjnym. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.7.2 jest podatny na cross-site scripting (XSS) poprzez komponent BPI (Business Process Intelligence), a konkretnie stronę Config Management i Edit Config. Niedostateczna walidacja lub escapowanie danych wprowadzanych przez użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.7.2 jest podatny na cross-site scripting (XSS) poprzez ustawienia koloru tła w Dashboardach. Niedostateczna walidacja lub escapowanie danych wejściowych użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.

Nagios XI w wersjach przed 5.6.11 zawiera nieuwierzytelnione podatności w narzędziu Highcharts local exporting. Spreparowane żądania eksportu mogą (1) wstrzyknąć skrypt do eksportowanej/zwracanej treści z powodu niewystarczającego kodowania wyjściowego (XSS) oraz (2) spowodować, że serwer pobierze adresy URL określone przez atakującego (SSRF), potencjalnie uzyskując dostęp do wewnętrznych zasobów sieciowych. Nieuwierzytelniony zdalny atakujący może wykorzystać te problemy do wykonania skryptu w przeglądarce użytkownika i ujawnienia poufnych informacji.

Nagios Log Server w wersjach przed 2.1.6 zawiera podatności typu cross-site scripting (XSS) poprzez interfejs webowy na stronach Create User, Edit User i Manage Host Lists. Niewystarczająca walidacja lub escapowanie danych wejściowych od użytkownika może pozwolić atakującemu na wstrzyknięcie i wykonanie dowolnego skryptu w kontekście przeglądarki ofiary.