CVE-2026-119742

Nome do Software Vulnerável e Versões Afetadas Nagios XI versões anteriores a 2026R2

Description Um problema de injeção de comando de SO existe no recurso de upload de MIB. A função install mib() no arquivo mibs.php utiliza um filtro de substituição de caracteres incompleto ao sanitizar nomes de arquivos carregados, falhando em remover pontos e vírgulas, pipes e caracteres de espaço em branco IFS que não sejam espaços. Esses nomes de arquivos são posteriormente passados para um comando grep executado via exec(). Um administrador autenticado pode explorar isso enviando uma requisição POST multipart para o endpoint mibs.php com um nome de arquivo manipulado contendo caracteres de tabulação para ignorar a lista de negação e encaminhar comandos para o sh, permitindo a execução de comandos arbitrários do SO com os privilégios do usuário do servidor web.

Recommendations Atualize o Nagios XI para a versão 2026R2. Como mitigação temporária, restrinja o acesso ao endpoint mibs.php apenas a administradores confiáveis.