Icinga Web 2 – Cross-Site Scripting über präparierte URL

Beschreibung

Icinga Web 2 erlaubt es einem Angreifer, eine URL so zu präparieren, dass beim Aufruf durch einen beliebigen Nutzer beliebiges JavaScript in Icinga Web eingebettet wird und im Kontext dieses Nutzers agiert. Betroffen sind Versionen vor 2.11.5 und 2.12.13. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: Update auf Version 2.11.5 bzw. 2.12.3; als Workaround kann in Version 2.12.2 eine Content-Security-Policy in den Anwendungseinstellungen aktiviert werden.

Changelog

1. 2026-07-29 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Icinga

• Fehlerhafte Zertifikatsprüfung in Icinga 2 CVE-2025-48057
• Icinga 2 – Fehlerhafte TLS-Zertifikatsvalidierung ermöglicht Impersonation CVE-2024-49369
• Icinga Director Cross-Site-Request-Forgery in Konfigurationsformularen CVE-2024-24820
• Icinga Web 2: Cross-Site-Scripting über präparierte URL CVE-2025-27405
• Linuxfabrik monitoring-plugins – vorhersagbarer Pfad bei Logfile-Check-Migration CVE-2026-67433
• Linuxfabrik monitoring-plugins – unsichere URL-Erstellung in redfish-*-Plugins CVE-2026-67436