Centreon GetXMLTrapsForVendor.php“mnftr_id”参数 SQL 注入

critical Nessus 插件 ID 80226

语言：

简介

远程 Web 服务器包含受到 SQL 注入漏洞影响的 PHP 应用程序。

描述

远程主机上安装的 Centreon 应用程序受到 SQL 注入漏洞的影响，该漏洞的原因是应用程序无法对用户向“GetXMLTrapsForVendor.php”脚本的“mnftr_id”参数提供的输入进行正确审查。未经认证的远程攻击者可利用此问题来执行任意针对后端数据库的 SQL 语句，从而导致任意代码执行、数据操纵或任意数据泄露。

请注意，据报告称，该应用程序还受到更多 SQL 注入漏洞以及一个远程命令注入漏洞的影响，但是，Nessus 尚未对这些问题进行测试。

解决方案

升级到 Centreon 2.5.3 或更高版本。

另见

https://seclists.org/fulldisclosure/2014/Oct/78

https://github.com/centreon/

插件详情

严重性: Critical

ID: 80226

文件名: centreon_mnftr_id_sqli.nasl

版本: 1.12

类型: remote

系列: CGI abuses

发布时间: 2014/12/23

最近更新时间: 2025/5/14

配置: 启用全面检查 (optional)

支持的传感器: Nessus

Enable CGI Scanning: true

风险信息

VPR

风险因素: High

分数: 7.4

CVSS v2

风险因素: Critical

基本分数: 10

时间分数: 8.3

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS 分数来源: CVE-2014-3828

漏洞信息

CPE: cpe:/a:centreon:centreon, cpe:/a:merethis:centreon

必需的 KB 项: www/PHP, installed_sw/Centreon

可利用: true

易利用性: Exploits are available

补丁发布日期: 2014/10/15

漏洞发布日期: 2014/10/15

可利用的方式

Metasploit (Centreon SQL and Command Injection)

参考资料信息

CVE: CVE-2014-3828

BID: 70648

CERT: 298796