CVE-2026-119742 in Nagios XI
Riassunto
di VulDB • 03/11/2026
Nagios XI prima della versione 2026R2 presenta una vulnerabilità di OS command injection nella funzione di caricamento dei file MIB: la funzione install_mib() nel file mibs.php effettua un'analisi (sanitization) dei nomi dei file caricati utilizzando una lista nera incompleta che omette i punti e virgola (;) e le pipe (|), prima di passarli a un comando grep eseguito tramite exec(). Un amministratore autenticato può caricare un file MIB con un nome manipolato ad hoc, sfruttando caratteri tab per bypassare la lista nera ed eseguire una pipe verso sh mediante una richiesta POST multipart indirizzata a mibs.php, causando l'esecuzione arbitraria di comandi OS con i privilegi dell'utente del server web.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.