CVSS: 9.8EPSS: 0%CPEs: 1EXPL: 0CVE-2018-11221
https://notcve.org/view.php?id=CVE-2018-11221
Unauthenticated untrusted file upload in Artica Pandora FMS through version 7.23 allows an attacker to upload an arbitrary plugin via include/ajax/update_manager.ajax in the update system. Subida de archivos no fiables sin autenticación en Artica Pandora FMS hasta la versión 7.23 permite que un atacante suba un plugin arbitrario mediante include/ajax/update_manager.ajax en el sistema de actualización. • https://blog.hackercat.ninja/post/pandoras_box https://pandorafms.com/wp-content/uploads/2018/06/whats-new-723-EN.pdf • CWE-434: Unrestricted Upload of File with Dangerous Type •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 1CVE-2018-11222
https://notcve.org/view.php?id=CVE-2018-11222
Local File Inclusion (LFI) in Artica Pandora FMS through version 7.23 allows an attacker to call any php file via the /pandora_console/ajax.php ajax endpoint. Inclusión de archivos locales en Artica Pandora FMS hasta la versión 7.23 permite que un atacante llame a cualquier archivo php mediante el endpoint de ajax /pandora_console/ajax.php. • https://blog.hackercat.ninja/post/pandoras_box https://pandorafms.com/wp-content/uploads/2018/06/whats-new-723-EN.pdf • CWE-20: Improper Input Validation •
CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 0CVE-2017-15936
https://notcve.org/view.php?id=CVE-2017-15936
In Artica Pandora FMS version 7.0, an Attacker with write Permission can create an agent with an XSS Payload; when a user enters the agent definitions page, the script will get executed. En Artica Pandora FMS 7.0, un atacante con permiso de escritura puede crear un agente con una carga útil XSS. Cuando un usuario entre en la página de definiciones del agente, el script se ejecutará. • https://medium.com/stolabs/security-issue-on-pandora-fms-enterprise-be630059a72d • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 9.0EPSS: 0%CPEs: 1EXPL: 0CVE-2017-15935
https://notcve.org/view.php?id=CVE-2017-15935
Artica Pandora FMS version 7.0 is vulnerable to remote PHP code execution through the manager files function. This is only exploitable by administrators who upload a PHP file. Artica Pandora FMS 7.0 es vulnerable a la ejecución remota de código PHP mediante la función manager files. Esto solo es explotable por administradores que suban un archivo PHP. • https://medium.com/stolabs/security-issue-on-pandora-fms-enterprise-be630059a72d • CWE-94: Improper Control of Generation of Code ('Code Injection') •
CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2017-15937
https://notcve.org/view.php?id=CVE-2017-15937
Artica Pandora FMS version 7.0 leaks a full installation pathname via GET data when intercepting the main page's graph requisition. This also implies that general OS information is leaked (e.g., a /var/www pathname typically means Linux or UNIX). Artica Pandora FMS 7.0 fuga un nombre completo de ruta de instalación mediante datos GET cuando se intercepta la llamada a la gráfica de la página principal. Esto también implica la fuga de la información general del sistema operativo (por ejemplo, un nombre de ruta /var/www pathname suele indicar que es Linux o UNIX). • https://medium.com/stolabs/security-issue-on-pandora-fms-enterprise-be630059a72d • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •