CVE-2026-4637 in PRTG Network Monitor
Resumen
por VulDB • 2026-09-24
Paessler PRTG Network Monitor anterior a la versión 26.2.120.1449 se ve afectado por una vulnerabilidad de Cross-Site Scripting (XSS) reflejada. Cuando se realiza una solicitud para un recurso inexistente que termina en ".htm", la interfaz web devuelve una página de error HTTP 403 "Forbidden Path" (Ruta prohibida) que refleja la ruta de URL solicitada en el cuerpo de respuesta HTML sin una codificación o sanitización adecuada de los datos.
Un atacante remoto no autenticado puede crear una URL que contenga un payload de HTML/JavaScript en la ruta (por ejemplo, https:////welcome.htm) y, una vez que una víctima con una sesión activa de PRTG abre el enlace manipulado, ejecutar JavaScript arbitrario dentro del contexto de seguridad de la interfaz web de PRTG. Dado que la cookie de sesión de PRTG no está protegida con el atributo HttpOnly, la explotación exitosa permite al atacante leer y exfiltrar la cookie de sesión de la víctima, lo que potencialmente conduce a un secuestro de sesión (session hijacking).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.