Nagios Core до 4.5.14 и Nagios XI до 2026R1.7 уязвимы для отраженного межсайтового скриптинга в cmd.cgi через параметр NagFormId. Удаленный злоумышленник, не прошедший проверку подлинности, может создать вредоносную ссылку, которая при переходе по ней аутентифицированного пользователя выполняет произвольный код JavaScript в браузере жертвы.
Показать оригинальное описание (EN)
Nagios Core before 4.5.14 and Nagios XI before 2026R1.7 are vulnerable to reflected cross-site scripting in cmd.cgi via the NagFormId parameter. An unauthenticated remote attacker can craft a malicious link that, when followed by an authenticated user, executes arbitrary JavaScript in the victim's browser.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Активное
Нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
nagios enterprises, llc.:nagios xi
nagios enterprises, llc.:nagios core