PT-2026-136126
CVE-2026-119742
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Nagios XI الإصدارات السابقة لـ 2026R2
Description
توجد ثغرة حقن أوامر نظام التشغيل في ميزة تحميل MIB. تستخدم الدالة
install mib() في ملف mibs.php مرشح استبدال أحرف غير مكتمل عند تنقية أسماء الملفات المرفوعة، حيث تفشل في إزالة الفواصل المنقوطة، وعلامات الأنابيب (pipes)، وأحرف المسافات البيضاء IFS غير المسافية. يتم تمرير أسماء الملفات هذه لاحقاً إلى أمر grep يتم تنفيذه عبر exec(). يمكن للمسؤول المصرح له استغلال ذلك عن طريق إرسال طلب POST multipart إلى endpoint mibs.php باستخدام اسم ملف مصمم يحتوي على علامات جدولة (tab characters) لتجاوز قائمة الحظر وتوجيه الأوامر إلى sh، مما يؤدي إلى تنفيذ أوامر نظام تشغيل عشوائية بصلاحيات مستخدم خادم الويب.Recommendations
تحديث Nagios XI إلى الإصدار 2026R2.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى endpoint
mibs.php للمسؤولين الموثوقين فقط. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾