Zabbix 7.4.x< 7.4.8の複数の脆弱性

high Web App Scanning プラグイン ID 115513

Language:

概要

説明

自己報告されたバージョン番号によると、リモートホストで実行されているZabbixのバージョンは、6.0.45より前の6.0.x、7.0.24より前の7.0.x、7.4.8より前の7.4.xです。したがって、以下の複数の脆弱性による影響を受けます。

- ホストナビゲーターウィジェットのメンテナンスツールチップにある蓄積型クロスサイトスクリプティング(XSS)の脆弱性により、認証された(スーパーではない)管理者が、JavaScriptペイロードを使用してメンテナンス期間を作成する可能性があり、そのメンテナンス期間中にツールチップを開く任意のユーザーによって実行されます。(CVE-2026-23926)

- アイテム履歴ウィジェット(Zabbix 7.0 以降)またはプレーンテキストウィジェット(Zabbix 6.0)にある蓄積型クロスサイトスクリプティング(XSS)の脆弱性により、HTML 表示が有効なときに注入された JavaScript が実行される可能性があります。悪意のある JavaScript は、攻撃者がコントロールする監視対象ホストに由来する必要があります。(CVE-2026-23928)

- エージェント 2 Oracle プラグインに十分に保護されていない認証情報の脆弱性により、エージェント 2 に接続できるユーザーが、「サービス」パラメーターを通じて Oracle TNS 接続文字列を注入し、エージェント 2 を攻撃者の制御下にあるサーバーに接続させ、named セッションに保存された Oracle データベース認証情報を漏洩させる可能性があります。(CVE-2026-23927)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。