根据其自我报告的版本号，远程主机上运行的 Zabbix 版本低于 、 7.0.x 低于 或低于 6.0.x 。7.4.137.4.x6.0.487.0.29 因此，该服务器受到多个漏洞的影响：

- searchParamsToObject（） 中存在一个原型污染漏洞，由于 URL 参数处理未过滤 __proto__ 等危险属性，再加上遍历原型链的不安全 jQuery 元素创建，因此 Google 地图中存在持久性跨站脚本 （XSS）。（CVE-2026-23929）

- 与 Zabbix 7.4 中一样的硬编码会话密钥，用于对前端会话进行签名的加密密钥被错误地写入了数据库种子。在同时使用 SAML 身份验证和来宾用户的部署中，密钥可用于伪造有效的会话 Cookie，可能导致未经授权的访问。（CVE-2026-23933）

- 存在一个拒绝服务漏洞，因为未经认证的用户能够通过向 popup.testtriggerexpr 操作发送特别构建的请求，在前端 webserver 上造成不成比例的 CPU 负载。（CVE-2026-23930）

- 存在一个拒绝服务漏洞，因为经过认证的用户能够通过向 validate.api.exists 操作发送特别构建的请求，在前端 webserver 上造成不成比例的 CPU 负载。CVE-2026-23934

- 存在一个信息泄露漏洞，前端 validatate.api.exists 操作可被经认证的用户利用于提取明文用户宏值。（CVE-2026-23931）

- 存在一个信息泄露漏洞，经过认证的用户可利用 API host.get 操作来提取主机的 PSK 密钥，从而导致数据完整性的潜在损失。（CVE-2026-23937）

- 存在越界读取漏洞，Zabbix 管理员可利用脚本项目/预处理 （JavaScript） HttpRequest 逻辑中的缺陷读取越界内存。（CVE-2026-23935）

- API 和前端登录锁定机制中存在争用条件，其中同时发送多个不成功的登录请求时未正确计入区块计数器，这可能允许比预期更多的密码猜测。（CVE-2026-1199）

- 一个未充分保护的凭据漏洞，因为保存之后无法读取电子邮件媒体 OAuth“客户端密码”字段，但可通过设置恶意“标记端点”的超级管理员泄露。（CVE-2026-23922）

- 存在一个拒绝服务漏洞，因为经过认证的管理员能够通过创建特别构建的预处理/脚本项目 JavaScript 脚本来导致 Zabbix 服务器或代理崩溃。（CVE-2026-23938）

- 不受控制的搜索路径元素漏洞，由于 Windows 代理安装程序未验证自定义安装目录是否具有安全访问权限，增加了 DLL 旁加载的风险。（CVE-2026-59781）

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - searchParamsToObject（） 中的原型污染漏洞导致地图中的持久性 XSS。URL 参数处理未过滤像 __proto__ 这样的危险属性，再加上遍历原型链的 jQuery 的不安全元素创建。（CVE-2026-23929）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
115509	Zabbix 7.0.x < 7.0.29 多个漏洞	Web App Scanning	Component Vulnerability	2026/9/23	2026/9/23	high
115510	Zabbix 7.4.x < 7.4.13 多个漏洞	Web App Scanning	Component Vulnerability	2026/9/23	2026/9/23	high
115508	Zabbix 6.0.x < 6.0.48 多个漏洞	Web App Scanning	Component Vulnerability	2026/9/23	2026/9/23	high
338037	Linux Distros 未修补的漏洞：CVE-2026-23929	Nessus	Misc.	2026/8/19	2026/11/3	high

检测

插件搜索

high

high

high

high