CVE-2021-25296
Nagios XI OS कमांड इंजेक्शन
- प्रकाशित
- 15 फ़र॰ 2021
- अद्यतन
- 9 जुल॰ 2026
- सीएनए असाइन करना
- mitre
- साक्ष्य देखे गए
- 18 जन॰ 2022
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.4%
- मॉडल दिनांक
- 18 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
Nagios XI संस्करण xi-5.7.5 OS कमांड इंजेक्शन से प्रभावित है। यह भेद्यता फ़ाइल /usr/local/nagiosxi/html/includes/configwizards/windowswmi/windowswmi.inc.php में मौजूद है, जो एकल HTTP अनुरोध द्वारा प्रमाणित उपयोगकर्ता-नियंत्रित इनपुट के अनुचित सैनिटाइज़ेशन के कारण उत्पन्न होती है, जिससे Nagios XI सर्वर पर OS कमांड इंजेक्शन हो सकता है।
स्रोत
modules/exploits/linux/http/nagios_xi_configwizards_authenticated_rce.rb
Metasploit Framework modulesघोषित शर्तें
- platform: Linux,Unix($.exploit_linux/http/nagios_xi_configwizards_authenticated_rce.platform)
- verification: check_declared($.exploit_linux/http/nagios_xi_configwizards_authenticated_rce.check)
http/cves/2021/CVE-2021-25296.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।