漏洞起因
输入验证错误
危险等级
低
影响系统
ZABBIX 1.8.5
不受影响系统
ZABBIX 1.8.10rc
危害
远程攻击者可以利用漏洞获得敏感信息或劫持用户会话。
攻击所需条件
攻击者必须构建恶意URL，诱使用户解析。
漏洞信息
zabbix是一款CS结构的分布式网络监控系统。
当创建用户和主机组时不正确过滤gname变量，如下URL可导致持久型XSS攻击：
URL:
hostgroups.php
usergrps.php
受影响参数:
gname
方法:
POST
注入：
“</options><script>alert(‘XSS’)</script>
Persists in:
http://test/zabbix/hostgroups.php
http://test/zabbix/users.php
http://test/zabbix/hosts.php?form=update&hostid=N (where N is a valid hostid)
http://test/zabbix/scripts.php?form=1&scriptid=N (where N is a valid scriptid)
http://test/zabbix/maintenance.php
测试方法
厂商解决方案
ZABBIX 1.8.10rc已经修复此漏洞，建议用户下载使用：
http://www.zabbix.org/
漏洞提供者
ZABBIX
0 条评论。