CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2022-26310 – Improper Authorization in User Management to Vertical Privilege Escalation
https://notcve.org/view.php?id=CVE-2022-26310
Pandora FMS v7.0NG.760 and below allows an improper authorization in User Management where any authenticated user with access to the User Management module could create, modify or delete any user with full admin privilege. The impact could lead to a vertical privilege escalation to access the privileges of a higher-level user or typically an admin user. Pandora FMS versión v7.0NG.760 y anteriores, permite una autorización inapropiada en la administración de usuarios donde cualquier usuario autenticado con acceso al módulo de administración de usuarios podría crear, modificar o eliminar cualquier usuario con privilegio de administrador completo. El impacto podría conllevar a una escalada vertical de privilegios para acceder a los privilegios de un usuario de nivel superior o típicamente un usuario administrador • https://pandorafms.com/en/security/common-vulnerabilities-and-exposures https://www.incibe.es/en/cve-assignment-publication/coordinated-cves • CWE-285: Improper Authorization •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2022-26309 – Cross-Site Request en Bulk operation (User operation)
https://notcve.org/view.php?id=CVE-2022-26309
Pandora FMS v7.0NG.759 allows Cross-Site Request Forgery in Bulk operation (User operation) resulting in elevation of privilege to Administrator group. Pandora FMS versión v7.0NG.759, permite un ataque de tipo Cross-Site Request Forgery en la operación Bulk (operación de usuario) resultando en una elevación de privilegios al grupo Administrador • https://pandorafms.com/en/security/common-vulnerabilities-and-exposures https://www.incibe.es/en/cve-assignment-publication/coordinated-cves • CWE-352: Cross-Site Request Forgery (CSRF) •
CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 0CVE-2022-26308 – Improper Access Control in Configuration (Credential store)
https://notcve.org/view.php?id=CVE-2022-26308
Pandora FMS v7.0NG.760 and below allows an improper access control in Configuration (Credential store) where a user with the role of Operator (Write) could create, delete, view existing keys which are outside the intended role. Pandora FMS versiones v7.0NG.760 y anteriores, permiten un control de acceso inapropiado en la Configuración (Almacén de credenciales) donde un usuario con el rol de Operador (Escritura) podría crear, borrar, visualizar claves existentes que están fuera del rol previsto • https://pandorafms.com/en/security/common-vulnerabilities-and-exposures https://www.incibe.es/en/cve-assignment-publication/coordinated-cves • CWE-284: Improper Access Control •
CVSS: 7.2EPSS: 0%CPEs: 1EXPL: 0CVE-2022-1648 – Relative Path Traversal to Remote Code Execution in File Manager
https://notcve.org/view.php?id=CVE-2022-1648
Pandora FMS v7.0NG.760 and below allows a relative path traversal in File Manager where a privileged user could upload a .php file outside the intended images directory which is restricted to execute the .php file. The impact could lead to a Remote Code Execution with running application privilege. Pandora FMS versión v7.0NG.760 y anteriores, permite un salto de ruta relativo en el Administrador de Archivos en el que un usuario con privilegios podría cargar un archivo .php fuera del directorio de imágenes previsto que está restringido para ejecutar el archivo .php. El impacto podría conllevar a una Ejecución de Código Remota con privilegio de aplicación en ejecución. • https://pandorafms.com/en/security/common-vulnerabilities-and-exposures https://www.incibe.es/en/cve-assignment-publication/coordinated-cves • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') CWE-23: Relative Path Traversal •
CVSS: 4.8EPSS: 0%CPEs: 1EXPL: 0CVE-2022-2059 – Stored Cross Site-Scripting in Agent Manager
https://notcve.org/view.php?id=CVE-2022-2059
In Pandora FMS v7.0NG.761 and below, in the agent creation section, the alias parameter is vulnerable to a Stored Cross Site-Scripting. This vulnerability can be exploited by an attacker with administrator privileges logged in the system. En Pandora FMS versiones v7.0NG.761 y anteriores, en la sección de creación de agentes, el parámetro alias es vulnerable a un ataque de tipo Cross Site-Scripting Almacenado. Esta vulnerabilidad puede ser explotada por un atacante con privilegios de administrador registrado en el sistema • https://pandorafms.com/en/security/common-vulnerabilities-and-exposures • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •