CVE-2026-4637 in PRTG Network Monitor
요약
\~에 의해 VulDB • 2026. 09. 24.
Paessler PRTG Network Monitor 버전 26.2.120.1449 이전에는 반사형 Cross-Site Scripting (XSS) 취약점이 존재합니다. 존재하지 않는 리소스(예: ".htm"로 끝나는 URL)에 대한 요청 시, 웹 인터페이스는 HTTP 403 "Forbidden Path" 오류 페이지를 반환하며, 이 과정에서 적절하게 출력 인코딩 또는 sanitization 처리 없이 요청된 URL 경로가 HTML 응답 본문에 그대로 반영됩니다.
인증되지 않은 원격 공격자는 경로 부분에 HTML/JavaScript 페이로드를 포함하는 URLs(예: https://welcome.htm)을 조작할 수 있습니다. 유효한 PRTG 세션을 가진 피해자가 이 조작된 링크를 열면, PRTG 웹 인터페이스의 보안 컨텍스트 내에서 임의 JavaScript 코드가 실행됩니다. PRTG 세션 쿠키가 HttpOnly 속성으로 보호되지 않았기 때문에, 성공적인 공격을 통해 공격자는 피해자의 세션 쿠키를 읽거나 외부로 유출할 수 있으며, 이는 결국 세션 하이재킹(Session Hijacking)으로 이어질 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.