Nagios XI < 5.11.2 多个漏洞

high Nessus 插件 ID 181758

语言：

简介

远程主机安装了受到多种漏洞影响的 Web 应用程序。

描述

根据 Nagios XI 自我报告的版本，远程主机受到以下多个漏洞的影响：

- 5.11.0 及之后版本（包括 5.11.1）的 Nagios XI 中存在 SQL 注入漏洞，允许经过身份验证的攻击者通过 /nagiosxi/admin/banner_message-ajaxhelper.php 的 POST 请求中的 ID 参数执行任意 SQL 命令 (CVE-2023-40931)

- 5.11.1 及更低版本的 Nagios XI 中存在跨站点脚本 (XSS) 漏洞，允许经过身份验证且能够访问自定义徽标组件的攻击者通过 alt-text 字段注入任意 javascript 或 HTML。这会影响包含导航栏的所有页面，包括登录页面，这意味着攻击者能够窃取明文凭据。(CVE-2023-40932)

- v5.11.1 及更低版本的 Nagios XI 中存在 SQL 注入漏洞，允许经过身份验证且拥有公告横幅配置权限的攻击者通过发送到 update_banner_message() 函数的 ID 参数执行任意 SQL 命令。(CVE-2023-40933)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。