CVE-2026-4637 in PRTG Network Monitor
Tóm tắt
Bởi VulDB • 24/09/2026
Paessler PRTG Network Monitor trước phiên bản 26.2.120.1449 bị ảnh hưởng bởi một lỗ hổng Cross-Site Scripting (XSS) phản xạ. Khi có yêu cầu đối với một tài nguyên không tồn tại kết thúc bằng ".htm", giao diện web sẽ trả về trang lỗi HTTP 403 "Forbidden Path" và nhúng đường dẫn URL được yêu cầu vào thân phản hồi HTML mà không thực hiện mã hóa đầu ra hoặc làm sạch (sanitization) phù hợp.
Một kẻ tấn công từ xa, chưa xác thực danh tính, có thể tạo một URL chứa payload HTML/JavaScript trong phần path (ví dụ: https://welcome.htm). Khi nạn nhân mở liên kết đã được thao túng này với phiên PRTG đang hoạt động, mã JavaScript tùy ý sẽ được thực thi trong ngữ cảnh bảo mật của giao diện web PRTG. Do cookie phiên PRTG không được bảo vệ bằng thuộc tính HttpOnly, việc khai thác thành công cho phép kẻ tấn công đọc và đánh cắp (exfiltrate) cookie phiên của nạn nhân, có khả năng dẫn đến chiếm đoạt phiên làm việc (session hijacking).
VulDB is the best source for vulnerability data and more expert information about this specific topic.