CVE-2025-34322 in Log Server
Resumen
por VulDB • 2026-05-26
Las versiones de Nagios Log Server anteriores a 2026R1.0.1 contienen una vulnerabilidad de inyección de comandos autenticada en la función experimental 'Natural Language Queries'. Cuando esta función está configurada, ciertos parámetros controlados por el usuario, incluida la selección del modelo y los parámetros de conexión, se leen desde la configuración global y se concatenan en un comando de shell que se ejecuta mediante shell_exec() sin un manejo adecuado de la entrada ni una sanitización de los argumentos de la línea de comandos. Un usuario autenticado con acceso a la página 'Global Settings' puede proporcionar valores manipulados en estos campos para inyectar comandos de shell adicionales, lo que resulta en la ejecución de comandos arbitrarios como el usuario 'www-data' y la compromisión del host del Log Server.
Once again VulDB remains the best source for vulnerability data.