p PatchFirst

CVE-2026-48554

CVE-2026-48554 · Nagios Core / XI Authenticated RCE via Unfiltered NOTIFICATION-Family Macro Substitution

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Nagios Core before 4.5.14 and Nagios XI before 2026R1.7 are vulnerable to authenticated remote code execution via unfiltered NOTIFICATION-family macro substitution through the com_data parameter. When a notification command references $NOTIFICATIONCOMMENT$ or $NOTIFICATIONAUTHOR$ in a shell-reachable position, authenticated UI users can run arbitrary commands as the nagios user. Exploitation requires a non-default configuration in which a notification command references these macros in a shell-executed command line.

CVSS 7.7 · Высокий · EPSS 1,0% · Есть исправление

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • nagios core

    Версии
    • ≥ 0, < 4.5.14: Затронуто (semver)

    Обновитесь до 4.5.14

  • nagios xi

    Версии
    • ≥ 0, < 2026R1.7: Затронуто (custom)

    Обновитесь до 2026R1.7

  • nagios4 Debian:12

    Версии
    • 4.4.6-4
    • 4.4.6-4+deb12u1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.4.6-4+deb12u2

    Обновитесь до 4.4.6-4+deb12u2

  • nagios4 Debian:13

    Версии
    • 4.4.6-4.1
    • 4.4.6-4.1+deb13u1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.4.6-4.1+deb13u2

    Обновитесь до 4.4.6-4.1+deb13u2

  • nagios4 Debian:14

    Версии
    • 4.4.6-4.1
    • 4.5.12+ds-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.5.14+ds-1

    Обновитесь до 4.5.14+ds-1

  • nagios4 Ubuntu:20.04:LTS

    Версии
    • 4.3.4-3
    • 4.3.4-3ubuntu0.1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • nagios4 Ubuntu:22.04:LTS

    Версии
    • 4.4.6-4
    • 4.4.6-4ubuntu0.22.04.1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • nagios4 Ubuntu:24.04:LTS

    Версии
    • 4.4.6-4
    • 4.4.6-4ubuntu0.24.04.1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • nagios4 Ubuntu:26.10

    Версии
    • 4.4.6-4.1ubuntu2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • nagios4 Ubuntu:26.04:LTS

    Версии
    • 4.4.6-4.1ubuntu1
    • 4.4.6-4.1ubuntu2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →