Zabbix 7.4.x < 7.4.13 多个漏洞

high Web App Scanning 插件 ID 115510

语言：

简介

描述

根据其自我报告的版本号，远程主机上运行的 Zabbix 版本低于、 7.0.x 低于或低于 6.0.x 。7.4.137.4.x6.0.487.0.29 因此，该服务器受到多个漏洞的影响：

- searchParamsToObject（）中存在一个原型污染漏洞，由于 URL 参数处理未过滤 __proto__ 等危险属性，再加上遍历原型链的不安全 jQuery 元素创建，因此 Google 地图中存在持久性跨站脚本（XSS）。（CVE-2026-23929）

- 与 Zabbix 7.4 中一样的硬编码会话密钥，用于对前端会话进行签名的加密密钥被错误地写入了数据库种子。在同时使用 SAML 身份验证和来宾用户的部署中，密钥可用于伪造有效的会话 Cookie，可能导致未经授权的访问。（CVE-2026-23933）

- 存在一个拒绝服务漏洞，因为未经认证的用户能够通过向 popup.testtriggerexpr 操作发送特别构建的请求，在前端 webserver 上造成不成比例的 CPU 负载。（CVE-2026-23930）

- 存在一个拒绝服务漏洞，因为经过认证的用户能够通过向 validate.api.exists 操作发送特别构建的请求，在前端 webserver 上造成不成比例的 CPU 负载。CVE-2026-23934

- 存在一个信息泄露漏洞，前端 validatate.api.exists 操作可被经认证的用户利用于提取明文用户宏值。（CVE-2026-23931）

- 存在一个信息泄露漏洞，经过认证的用户可利用 API host.get 操作来提取主机的 PSK 密钥，从而导致数据完整性的潜在损失。（CVE-2026-23937）

- 存在越界读取漏洞，Zabbix 管理员可利用脚本项目/预处理（JavaScript） HttpRequest 逻辑中的缺陷读取越界内存。（CVE-2026-23935）

- API 和前端登录锁定机制中存在争用条件，其中同时发送多个不成功的登录请求时未正确计入区块计数器，这可能允许比预期更多的密码猜测。（CVE-2026-1199）

- 一个未充分保护的凭据漏洞，因为保存之后无法读取电子邮件媒体 OAuth“客户端密码”字段，但可通过设置恶意“标记端点”的超级管理员泄露。（CVE-2026-23922）

- 存在一个拒绝服务漏洞，因为经过认证的管理员能够通过创建特别构建的预处理/脚本项目 JavaScript 脚本来导致 Zabbix 服务器或代理崩溃。（CVE-2026-23938）

- 不受控制的搜索路径元素漏洞，由于 Windows 代理安装程序未验证自定义安装目录是否具有安全访问权限，增加了 DLL 旁加载的风险。（CVE-2026-59781）

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。