Checkmk
Уязвимости
111
Эксплуатируемые
0
Макс. CVSS
9.8
Макс. EPSS
0.12134
Распределение по критичности
Критический
4
Высокий
37
Средний
61
Низкий
9
Затронутые диапазоны версий
1.5.0–1.6.01.5.0–2.0.02.0.0–2.1.02.0.0–2.3.02.1.0–2.2.02.1.0–2.3.02.2.0–2.4.0< 1.6.0< 2.1.0< 2.2.0< 2.3.0≤ 1.6.0≤ 2.0.0≤ 2.2.0
Также сопоставлено как (исходные строки): checkmk
Топ уязвимостей
CVE-2024-28825Неправильное ограничение чрезмерных попыток аутентификации в некоторых методах аутентификации в Checkmk до 2.3.0b5 (бета), 2.2.0p26, 2.1.0p43 и в Checkmk 2.0.0 (EOL) облегчает подбор пароля.
CVE-2022-48317Срок действия сеансов безопасно не прекращался в RestAPI для Tribe29's Checkmk <= 2.1.0p10 и Checkmk <= 2.0.0p28, что позволяло злоумышленнику использовать просроченные токены сеанса при взаимодействии с RestAPI.
CVE-2025-39666Локальная эскалация привилегий в Checkmk 2.2.0 (EOL), Checkmk 2.3.0 до 2.3.0p46, Checkmk 2.4.0 до 2.4.0p25 и Checkmk 2.5.0 (beta) до 2.5.0b3 позволяет пользователю сайта укоренить свои привилегии, манипулируя файлами в контексте сайта, которые обрабатываются, когда гандимная команда `md` запускается по корням.
CVE-2024-8606Обход двухфакторной аутентификации в RestAPI в Checkmk < 2.3.0p16 и < 2.2.0p34 позволяет аутентифицированным пользователям обходить двухфакторную аутентификацию.
CVE-2025-32919Использование небезопасного временного каталога в плагине Windows License для Checkmk Windows Agent позволяет Escalation Privilege. Эта проблема затрагивает Checkmk: от 2.4.0 до 2.4.0 до 2.4.0p13, от 2.3.0 до 2.3.0p38, от 2.2.0 до 2.2.0p46, и все версии 2.1.0 (EOL).
CVE-2024-28828Межсайтовая подделка запросов в Checkmk < 2.3.0p8, < 2.2.0p29, < 2.1.0p45 и <= 2.0.0p39 (EOL) может привести к компрометации сайта в один клик.
CVE-2023-6157Неправильная нейтрализация разделителей команд livestatus в ajax_search в Checkmk <= 2.0.0p39, < 2.1.0p37 и < 2.2.0p15 позволяет авторизованным пользователям выполнять произвольные команды livestatus.
CVE-2023-6156Неправильная нейтрализация разделителей команд livestatus во временной шкале доступности в Checkmk <= 2.0.0p39, < 2.1.0p37 и < 2.2.0p15 позволяет авторизованным пользователям выполнять произвольные команды livestatus.
CVE-2023-31209Неправильная нейтрализация аргументов команды активной проверки в Checkmk < 2.1.0p32, < 2.0.0p38, < 2.2.0p4 приводит к произвольному выполнению команд для аутентифицированных пользователей.
CVE-2023-31208Неправильная нейтрализация разделителей команд livestatus в RestAPI в Checkmk < 2.0.0p36, < 2.1.0p28 и < 2.2.0b8 (бета-версия) позволяет выполнять произвольные команды livestatus для авторизованных пользователей.
CVE-2022-46836Инъекция PHP-кода в watolib auth.php и hosttags.php в Tribe29's Checkmk <= 2.1.0p10, Checkmk <= 2.0.0p27 и Checkmk <= 1.6.0p29 позволяет злоумышленнику внедрять и выполнять PHP-код, который будет выполнен по запросу уязвимого компонента.
CVE-2022-46302Широкие элементы управления доступом могут позволить пользователям сайта напрямую взаимодействовать с установкой Apache системы при предоставлении конфигураций обратного прокси для Tribe29 Checkmk <= 2.1.0p6, Checkmk <= 2.0.0p27 и всех версий Checkmk 1.6.0 (EOL), что позволяет злоумышленнику выполнять удаленное выполнение кода с правами root на базовом хосте.
CVE-2021-40905Консоль веб-управления CheckMK Enterprise Edition (версии с 1.5.0 по 2.0.0p9) не выполняет должную очистку загружаемых ".mkp" файлов, которые являются пакетами расширений, что делает возможным удаленное выполнение кода. Для успешной эксплуатации требуется доступ к интерфейсу веб-управления либо с действительными учетными данными, либо с перехваченной сессией пользователя с ролью администратора. ПРИМЕЧАНИЕ: поставщик заявляет, что это предполагаемое поведение: администраторы должны иметь возможность выполнять код таким образом.
CVE-2021-40904Консоль веб-управления CheckMK Raw Edition (версии с 1.5.0 по 1.6.0) допускает неправильную конфигурацию веб-приложения Dokuwiki (установленного по умолчанию), что позволяет внедрять php-код. В результате достигается удаленное выполнение кода. Для успешной эксплуатации требуется доступ к интерфейсу веб-управления либо с действительными учетными данными, либо с перехваченной сессией пользователя с ролью администратора.
BDU:2024-02694Уязвимость программного обеспечения мониторинга ИТ-инфраструктуры Checkmk связана с неконтролируемым элементом пути поиска. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии
CVE-2025-1712Уязвимость Argument injection в конфигурации специального агента Checkmk версий до 2.4.0p1, 2.3.0p32, 2.2.0p42 и 2.1.0 позволяет аутентифицированным злоумышленникам записывать произвольные файлы [1].
Источники:
- [1] https://checkmk.com/werk/17996
CVE-2026-33276Хранение межсайтового скриптинга (XSS) в Checkmk 2.5.0 (beta) до 2.5.0b2 позволяет аутентифицированным пользователям с разрешения создавать хосты или сервисы для выполнения произвольных JavaScript в браузерах других пользователей, выполняющих поиск в функции Unified Search.
CVE-2026-8833Неправильная нейтрализация HTML-кодированных символов в функции проверки URL в Checkmk <2.5.0p5, <2.4.0p31, <2.3.0p48 и всех версиях 2.2.0 позволяет аутентифицированному пользователю обходить проверку URL-адресов и вводить вредоносные URL-адреса, такие как javascript: URI, что приводит к кросс-сайту скриптов, когда другой пользователь взаимодействует с созданной ссылкой.
CVE-2026-7186Хранение межсайтового скрипта в виджете панели инструментов URL в Checkmk <2.5.0p5, <2.4.0p31, <2.3.0p48 и во всех версиях 2.2.0 позволяет пользователю с разрешениями на редактирование приборной панели хранить URL-адрес с опасной схемой URI, такой как javascript: который выполняет скрипты в браузерах других пользователей при просмотре панели инструментов.
CVE-2026-3466Недостаточная дезинфэкизация ссылок на приборную панель в Checkmk 2.2.0 (EOL), Checkmk 2.3.0 до 2.3.0p46, Checkmk 2.4.0 до 2.4.0 и Checkmk 2.5.0 (beta) до 2.5.0 позволяет злоумышленнику с привилегиями создания панели для выполнения сохраненных атак по кросс-сайту (XSS)
CVE-2026-20915Хранение кросс-сайтных скриптов (XSS) в Checkmk версии 2.5.0 (beta) до 2.5.0b2 позволяет аутентифицированным пользователям с разрешением создавать ожидающие изменения для впрыски вредоносного JavaScript в бок-баку Ожидающих изменений, которые будут выполняться в браузерах других пользователей, просматривающих боковые панели.
CVE-2025-39663Уязвимость Cross-Site Scripting (XSS) в распределенном мониторинге Checkmk позволяет скомпрометированному удаленному сайту вводить вредоносный HTML-код в выводы службы на центральном сайте. Влияние на контроль до 2.4.0p14, 2.3.0p39, 2.2.0 и 2.1.0 (eol).
CVE-2024-28826Неправильное ограничение локальных путей загрузки и скачивания в check_sftp в Checkmk до 2.3.0p4, 2.2.0p27, 2.1.0p44 и в Checkmk 2.0.0 (EOL) позволяет злоумышленникам с достаточными разрешениями для настройки проверки читать и записывать локальные файлы на сервере сайта Checkmk.
CVE-2023-0284Неправильная проверка ввода идентификаторов пользователей LDAP в Tribe29 Checkmk позволяет злоумышленникам, которые могут контролировать идентификаторы пользователей LDAP, манипулировать файлами на сервере. Уязвимы Checkmk <= 2.1.0p19, Checkmk <= 2.0.0p32 и все версии Checkmk 1.6.0 (EOL).
CVE-2024-28827Некорректные разрешения на каталог данных агента Checkmk Windows в Checkmk < 2.3.0p8, < 2.2.0p29, < 2.1.0p45 и <= 2.0.0p39 (EOL) позволяют локальному злоумышленнику получить привилегии SYSTEM.