Icinga Web 2: Cross-Site-Scripting über präparierte URL

Beschreibung

Icinga Web 2 vor den Versionen 2.11.5 und 2.12.13 erlaubt es einem Angreifer, eine URL zu präparieren, die beim Aufruf durch einen beliebigen Nutzer beliebiges JavaScript in Icinga Web einschleust und im Namen dieses Nutzers agieren kann. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: Update auf Version 2.11.5 beziehungsweise 2.12.3; als Workaround für Version 2.12.2 kann eine Content Security Policy in den Anwendungseinstellungen aktiviert werden.

Changelog

1. 2026-07-29 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Icinga

• Fehlerhafte Zertifikatsprüfung in Icinga 2 CVE-2025-48057
• Icinga 2 – Fehlerhafte TLS-Zertifikatsvalidierung ermöglicht Impersonation CVE-2024-49369
• Icinga Director Cross-Site-Request-Forgery in Konfigurationsformularen CVE-2024-24820
• Icinga Web 2 – Cross-Site Scripting über präparierte URL CVE-2025-27404
• Linuxfabrik monitoring-plugins – vorhersagbarer Pfad bei Logfile-Check-Migration CVE-2026-67433
• Linuxfabrik monitoring-plugins – unsichere URL-Erstellung in redfish-*-Plugins CVE-2026-67436