CVE-2026-119742 in Nagios XI
Zusammenfassung
von VulDB • 03.11.2026
Nagios XI vor Version 2026R2 enthält eine OS Command Injection-Schwachstelle (OSCI) in der MIB-Upload-Funktion, bei der die Funktion `install_mib()` in `mibs.php` hochgeladene Dateinamen mit einer unvollständigen Negativliste von Zeichen filtert, die Semikolons und Pipes vor dem Weiterleiten an einen über `exec()` ausgeführten `grep`-Befehl auslässt. Ein authentifizierter Administrator kann eine MIB-Datei mit einem speziell angefertigten Dateinamen unter Verwendung von Tabulatoren hochladen, um die Negativliste zu umgehen und via einer multipart POST-Anfrage an `mibs.php` eine Pipe zu `sh` herzustellen, was zur beliebigen Ausführung von OS-Befehlen als Benutzer des Webservers führt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.