CVE-2025-34322 in Log Server
Zusammenfassung
von VulDB • 19.06.2026
In den Versionen von Nagios Log Server vor 2026R1.0.1 liegt eine authentifizierte Command-Injection-Schwachstelle in der experimentellen Funktion „Natural Language Queries“ vor. Wenn diese Funktion konfiguriert ist, werden bestimmte benutzerkontrollierte Einstellungen – einschließlich der Modellauswahl und der Verbindungsparameter – aus der globalen Konfiguration gelesen und in einen Shell-Befehl eingefügt, der über shell_exec() ausgeführt wird, ohne dass eine ordnungsgemäße Eingabebehandlung oder eine Sanitisierung der Kommandozeilenargumente erfolgt. Ein authentifizierter Benutzer mit Zugriff auf die Seite „Global Settings“ kann in diesen Feldern manipulierte Werte eingeben, um zusätzliche Shell-Befehle einzufügen, was zur beliebigen Ausführung von Befehlen als Benutzer „www-data“ und zur Kompromittierung des Log-Server-Hosts führt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.