CVE-2026-4637 in PRTG Network Monitor
Sumário
de VulDB • 24/09/2026
O Paessler PRTG Network Monitor anterior à versão 26.2.120.1449 é afetado por uma vulnerabilidade de Cross-Site Scripting (XSS) refletida. Quando uma solicitação é feita para um recurso inexistente que termina em ".htm", a interface da Web retorna uma página de erro HTTP 403 "Forbidden Path" que ecoa o caminho da URL solicitada no corpo da resposta HTML sem codificação ou sanitização adequada dos dados de saída.
Um atacante remoto não autenticado pode criar uma URL contendo um payload de HTML/JavaScript no caminho (por exemplo, https:////welcome.htm) e, assim que uma vítima com uma sessão PRTG ativa abre o link manipulado, executar JavaScript arbitrário no contexto de segurança da interface web do PRTG. Como o cookie de sessão do PRTG não é protegido pelo atributo HttpOnly, a exploração bem-sucedida permite ao atacante ler e exfiltrar o cookie de sessão da vítima, potencialmente levando ao sequestro de sessão (session hijacking).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.