CVE-2026-14453

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.6
EPSS: 0.8%
CWE: CWE-94
KEV Durumu: Hayır

Yayım tarihi: 13 Temmuz 2026

Bu güvenlik açığı, Centreon'un centreon-open-tickets modülünde uzaktan kod çalıştırılmasına yol açan kritik bir Sunucu-Tarafı Şablon Enjeksiyonu (SSTI) güvenlik açığıdır. message_confirm alanı sansürleme yapılmadan depolanır ve güvenlik politikası etkinleştirilmeksizin Smarty aracılığıyla işlenir, bu da herhangi bir kimliği doğrulanmış kullanıcıya, sunucuda keyfi kod enjekte etme ve çalıştırma olanağı sağlar. Bu, ortam gizliliklerinin açığa çıkmasına neden olur ve Centreon Infra Monitoring ürününün platform kullanılabilirliğini etkileyebilir.

Orijinal açıklama (İngilizce)

This vulnerability is a critical Server-Side Template Injection (SSTI) in Centreon's centreon-open-tickets module that leads to Remote Code Execution. The message_confirm field is stored without sanitization and rendered via Smarty with no security policy enabled, allowing any authenticated user, to inject and execute arbitrary code on the server. This results in disclosure of environment secrets and could impact platform availability of Centreon Infra Monitoring product.

Referanslar

https://github.com/centreon/centreon/releases

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.