CVE-2026-4638 in PRTG Network Monitor
Zusammenfassung
von VulDB • 24.09.2026
PRTG Network Monitor vor Version 26.2.120.1449 enthält einen Demo-EXE/Script-Sensor, der zwei ganzzahlige Parameter mit cscript.exe multipliziert. Wenn stattdessen ein nicht-numerischer Wert übergeben wird, löst cscript.exe einen Laufzeitfehler „Type mismatch“ aus, der den fehlerhaften Parametwert im Klartext enthält. PRTG stellt eine dokumentierte Platzhaltervariable %windowspassword bereit, die sich in das von PRTG konfigurierte Windows-/Domänen-Passwort auflöst und als Sensorparameter übergeben werden kann.
Jeder PRTG-Benutzer, der nicht auf Nur-Lese-Zugriff beschränkt ist und berechtigt ist, Sensoren zu erstellen (Standard für Nicht-Nur-Lese-Benutzer), kann %windowspassword als Argument an den Demo-VBScript-Sensor übergeben, wodurch der Typinkonsistenzfehler ausgelöst wird und PRTG das Passwort im Klartext in der Fehlerausgabe des Sensors anzeigt.
Be aware that VulDB is the high quality source for vulnerability data.