CVSS: 6.5EPSS: 0%CPEs: 3EXPL: 0CVE-2021-26804
https://notcve.org/view.php?id=CVE-2021-26804
Insecure Permissions in Centreon Web versions 19.10.18, 20.04.8, and 20.10.2 allows remote attackers to bypass validation by changing any file extension to ".gif", then uploading it in the "Administration/ Parameters/ Images" section of the application. Los permisos no seguros en Centreon Web versiones 19.10.18, 20.04.8 y 20.10.2, permiten a atacantes remotos omitir la comprobación al cambiar cualquier extensión de archivo a ".gif" y luego cargándola en la sección de la aplicación "Administration/ Parameters/ Images" • https://medium.com/%40pedro.ferreira.phf/vulnerability-affecting-some-versions-of-centreon-2b34bd6dc621 • CWE-276: Incorrect Default Permissions •
CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2021-28055
https://notcve.org/view.php?id=CVE-2021-28055
An issue was discovered in Centreon-Web in Centreon Platform 20.10.0. The anti-CSRF token generation is predictable, which might allow CSRF attacks that add an admin user. Se detectó un problema en Centreon-Web en Centreon Platform versión 20.10.0. La generación de tokens anti-CSRF es predecible, lo que podría permitir ataques de tipo CSRF que agreguen un usuario administrador • https://github.com/centreon/centreon/pull/9612 • CWE-330: Use of Insufficiently Random Values •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2020-22425
https://notcve.org/view.php?id=CVE-2020-22425
Centreon 19.10-3.el7 is affected by a SQL injection vulnerability, where an authorized user is able to inject additional SQL queries to perform remote command execution. Centreon versión 19.10-3.el7, está afectado por una vulnerabilidad de inyección SQL, donde un usuario autorizado puede inyectar consultas SQL adicionales para llevar a cabo una ejecución de comandos remota • https://code610.blogspot.com/2020/04/postauth-sqli-in-centreon-1910-1el7.html%2C https://github.com/c610/free • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 6.1EPSS: 0%CPEs: 12EXPL: 1CVE-2020-13628
https://notcve.org/view.php?id=CVE-2020-13628
Cross-site scripting (XSS) vulnerability allows remote attackers to inject arbitrary web script or HTML via the widgetId parameter to host-monitoring/src/toolbar.php. This vulnerability is fixed in versions 1.6.4, 18.10.3, 19.04.3, and 19.0.1 of the Centreon host-monitoring widget; 1.6.4, 18.10.5, 19.04.3, 19.10.2 of the Centreon service-monitoring widget; and 1.0.3, 18.10.1, 19.04.1, 19.10.1 of the Centreon tactical-overview widget. Una vulnerabilidad de tipo cross-site scripting (XSS) permite a atacantes remotos inyectar scripts web o HTML arbitrario por medio del parámetro widgetId en el archivo host-monitoring/src/toolbar.php. Esta vulnerabilidad es corregida en las versiones 1.6.4, 18.10.3, 19.04.3 y 19.0.1 del Centreon host-monitoring widget; las versiones 1.6.4, 18.10.5, 19.04.3, 19.10.2 del Centreon service-monitoring widget; y las versiones 1.0.3, 18.10.1, 19.04.1, 19.10.1 del Centreon tactical-overview widget. • https://sysdream.com/news/lab/2020-05-13-cve-2020-10946-several-cross-site-scripting-xss-vulnerabilities-in-centreon • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 12EXPL: 1CVE-2020-13627
https://notcve.org/view.php?id=CVE-2020-13627
Cross-site scripting (XSS) vulnerability allows remote attackers to inject arbitrary web script or HTML via the widgetId parameter to service-monitoring/src/index.php. This vulnerability is fixed in versions 1.6.4, 18.10.3, 19.04.3, and 19.0.1 of the Centreon host-monitoring widget; 1.6.4, 18.10.5, 19.04.3, 19.10.2 of the Centreon service-monitoring widget; and 1.0.3, 18.10.1, 19.04.1, 19.10.1 of the Centreon tactical-overview widget. Una vulnerabilidad de tipo cross-site scripting (XSS) permite a atacantes remotos inyectar scripts web o HTML arbitrario por medio del parámetro widgetId en el archivo host-monitoring/src/toolbar.php. Esta vulnerabilidad es corregida en las versiones 1.6.4, 18.10.3, 19.04.3 y 19.0.1 del Centreon host-monitoring widget; las versiones 1.6.4, 18.10.5, 19.04.3, 19.10.2 del Centreon service-monitoring widget; y las versiones 1.0.3, 18.10.1, 19.04.1, 19.10.1 del Centreon tactical-overview widget. • https://sysdream.com/news/lab/2020-05-13-cve-2020-10946-several-cross-site-scripting-xss-vulnerabilities-in-centreon • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •