Pandora FMS: Gespeichertes Cross-Site Scripting in File Manager Create Directory
Zusammenfassung
Fehlende Eingabevalidierung und Ausgabe-Kodierung des Verzeichnisnamen-Parameters in der Funktion Create Directory des File Managers erlauben gespeichertes Cross-Site Scripting in Pandora FMS ab Version 777. Ein Angreifer, der Verzeichnisse erstellen kann, kann Skriptcode speichern, der im Browser anderer Benutzer ausgeführt wird, die die betroffene Seite aufrufen; dies kann zu Session-Hijacking oder unautorisierten Aktionen in der Konsole führen. Der Hersteller und der CVE-Eintrag nennen Korrekturen in 800.5, 805 und 800.6 LTS; die Zuordnung der Korrektur zu dieser CVE ist vom Hersteller nicht bestätigt.
Betroffen
- Pandora FMS ab 777 (gemäss CVE-Eintrag; Standardkonfiguration als nicht betroffen aufgeführt)
Behoben in
- Behoben in v800.5 und v805 (gemäss CVE-Eintrag)
- Die Patch-Notes zu 800.6 LTS nennen eine Korrektur für gespeichertes XSS im Parameter dirname des File Managers v2; die Zuordnung zu dieser CVE ist abgeleitet
- Keine bestätigte Korrektur für die 777.x LTS-Linie
Umgehung
- Keine vom Hersteller dokumentierte Workaround bekannt.
- Den Zugriff auf den File Manager bis zur Aktualisierung auf vertrauenswürdige Administratoren beschränken.
Ausnutzung
- Kein öffentlicher Proof of Concept und keine bekannte Ausnutzung für diese CVE gefunden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Nicht in KEV gelistet. EPSS 0.00247.
Unsere Empfehlung
- Prüfen Sie, ob Ihre Pandora-FMS-Installation Version 777.x oder 800.x ist.
- Planen Sie eine Aktualisierung auf 800.6 LTS oder neuer; bestätigen Sie den Aktualisierungspfad mit dem Hersteller, insbesondere für 777.x.
- Beschränken Sie den Zugriff auf File Manager und Administration auf Konsolen, die aus dem Internet erreichbar sind oder geteilt werden.
- Prüfen Sie das Herstellerdossier und die NVD, sobald die Analyse abgeschlossen ist. Der CVSS-Vektor und die Berechtigungsanforderungen sind widersprüchlich und sollten verifiziert werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Pandora FMS Common Vulnerabilities and Exposures pandorafms.com
- Pandora FMS 800.6 LTS patch notes pandorafms.com
- Pandora FMS 805 feature release notes pandorafms.com
- OpenCVE: CVE-2026-64950 app.opencve.io
- VulnCheck/Vulnrichment: CVE-2026-64950 vulners.com
- Strix: CVE-2026-64950 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:58.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.