Spawnzii

O software contém uma falha de Neutralização Imprópria de Entrada Durante a Geração de Página Web, especificamente uma condição de Cross-site Scripting (XSS) Armazenado. Isso permite que usuários com privilégios elevados injetem scripts maliciosos. A falha está localizada nos módulos Services Meta-services.

Existe uma falha no Centreon Infra Monitoring relacionada à neutralização inadequada de entrada durante a geração de páginas web, resultando em uma condição de Cross-site Scripting (XSS) Armazenado. Este problema está presente nos módulos do widget HTTP Loader. A exploração bem-sucedida poderia permitir que um atacante injetasse scripts maliciosos em páginas web visualizadas por outros usuários.

Nome do Software Vulnerável e Versões Afetadas: versões web 23.10.0 até 23.10.26 versões web 24.04.0 até 24.04.16 versões web 24.10.0 até 24.10.9 Descrição: Um usuário com privilégios elevados pode injetar comandos SQL através da página do indicador do Meta Service devido à neutralização inadequada de elementos especiais dentro de uma consulta SQL. Recomendações: Atualize o web para uma versão posterior a 23.10.26. Atualize o web para uma versão posterior a 24.04.16. Atualize o web para uma versão posterior a 24.10.9.

Nome do Software Vulnerável e Versões Afetadas: Versões do Centreon web de 23.10.0 a 23.10.26 Versões do Centreon web de 24.04.0 a 24.04.16 Versões do Centreon web de 24.10.0 a 24.10.9 Descrição: A aplicação web está vulnerável a Injeção de SQL devido à neutralização inadequada de elementos especiais utilizados em um comando SQL dentro do módulo de logs de eventos de Monitoramento. Um atacante autenticado com baixos privilégios pode manipular o banco de dados alterando solicitações HTTP para inserir um payload. Recomendações: Versões do Centreon web anteriores a 23.10.26 devem ser atualizadas. Versões do Centreon web anteriores a 24.04.16 devem ser atualizadas. Versões do Centreon web anteriores a 24.10.9 devem ser atualizadas.

Um usuário com privilégios elevados consegue realizar uma injeção de SQL no formulário de upload de mídia. Este problema permite que atacantes com privilégios elevados explorem o formulário de upload de mídia, potencialmente injetando código SQL malicioso.

Um usuário com privilégios elevados é capaz de injetar SQL no formulário utilizado para criar métricas virtuais. Este problema permite que um atacante com privilégios elevados realize injeção de SQL, possibilitando potencialmente o escalonamento de privilégios.

O problema ocorre quando um usuário acessa um documento malicioso e clica em um link em uma célula HyperLink usando um modificador de teclado, como Ctrl+clique. Isso pode levar ao comprometimento da conta, pois o link pode utilizar o esquema javascript: e ser executado no contexto da página atual.

Um usuário que acesse um documento malicioso ou envie um formulário malicioso pode ter sua conta comprometida devido à possibilidade de usar o esquema `javascript:` em URLs de widgets personalizados e URLs de redirecionamento de formulários.

A vulnerabilidade permite que usuários remotos autenticados executem código arbitrário por meio do parâmetro ` oups`. Isso possibilita que invasores realizem execução remota de código (RCE) nos sistemas afetados.