プラットフォーム
php
コンポーネント
checkmk
修正版
2.5.4
2.3.0p46
2.4.0p25
2.5.0
CVE-2026-3466 describes a stored Cross-Site Scripting (XSS) vulnerability affecting Checkmk versions 2.2.0 through 2.5.0. This vulnerability allows an attacker with dashboard creation privileges to inject malicious scripts into dashlet titles, potentially impacting users who view shared dashboards. The vulnerability was published on April 7, 2026, and a fix is available in Checkmk 2.5.0.
Checkmk の CVE-2026-3466 は、ダッシュボード作成権限を持つ攻撃者が、共有ダッシュボード上のダッシュレットのタイトル内のリンクを操作することで、保存型のクロスサイトスクリプティング (XSS) 攻撃を実行することを可能にします。被害者が悪意のあるリンクをクリックすると、攻撃者は被害者のブラウザコンテキストで JavaScript コードを実行し、セッションを侵害したり、機密情報を盗んだりする可能性があります。影響を受けるバージョンには、Checkmk 2.2.0 (EOL)、2.3.0 (2.3.0p46 より前)、2.4.0 (2.4.0p25 より前)、および 2.5.0 のベータ版が含まれます。この脆弱性の重大度は、攻撃者がユーザーをリンクをクリックさせる容易さにあります。特に、ダッシュボードが広く共有されている環境では、このリスクが高まります。
攻撃者は、Checkmk でダッシュボードを作成または変更する権限が必要です。これらの権限を取得すると、ダッシュレットのタイトルに悪意のある JavaScript コードを挿入できます。共有ダッシュボードにアクセスできるユーザーがこのタイトルをクリックすると、JavaScript コードがそのユーザーのブラウザで実行されます。この攻撃は、複数のユーザー間でダッシュボードが共有されているコラボレーション環境で特に効果的であり、攻撃対象領域を拡大します。ダッシュレットタイトルの入力の適切なサニタイズの欠如が、この脆弱性の根本原因です。
Organizations using Checkmk for monitoring and those with shared dashboards are at risk. Specifically, environments where multiple users have dashboard creation privileges and dashboards are routinely shared among a large user base are particularly vulnerable. Users relying on Checkmk for critical infrastructure monitoring should prioritize patching.
• php: Examine Checkmk dashboard configurations for suspicious dashlet titles containing HTML or JavaScript code. Use grep to search for <script> tags or other potentially malicious code within the dashlet title fields in the Checkmk database or configuration files.
grep -r '<script>' /path/to/checkmk/config_files• generic web: Monitor Checkmk access logs for unusual requests targeting dashboard creation endpoints. Look for POST requests with suspicious data in the dashlet title parameter.
curl -s 'https://checkmk.example.com/dashboard/create' -d 'title=<script>alert("XSS")</script>' -vdisclosure
エクスプロイト状況
EPSS
0.05% (16% パーセンタイル)
CISA SSVC
CVE-2026-3466 を軽減するには、Checkmk を 2.5.0 以降のバージョンにアップグレードすることが推奨されます。2.3.0p46 および 2.4.0p25 もこの脆弱性を修正しています。即時アップグレードが不可能な場合は、ダッシュボード作成権限を見直し、信頼できるユーザーのみにアクセスを制限してください。また、共有ダッシュボードを含む、疑わしいリンクをクリックすることのリスクについてユーザーを教育することも重要です。アップグレードは、脆弱性を排除し、Checkmk 環境を保護するための最も効果的な手段です。
Actualice Checkmk a la versión 2.5.4 o posterior para mitigar la vulnerabilidad de XSS en los títulos de los dashlets. Asegúrese de aplicar los parches de seguridad correspondientes para las versiones 2.3.0p46, 2.4.0p25 y 2.5.0. La actualización corrige la falta de sanitización adecuada de los enlaces en los títulos de los dashlets, previniendo así la ejecución de scripts maliciosos.
脆弱性分析と重要アラートをメールでお届けします。
'ダッシュレット' は、Checkmk ダッシュボードに表示されるウィジェットまたは視覚的なコンポーネントです。特定の監視情報を表示します。
XSS (クロスサイトスクリプティング) は、攻撃者が他のユーザーが閲覧する Web ページに悪意のあるスクリプトを挿入できるセキュリティ脆弱性の種類です。
すぐにアップグレードできない場合は、ダッシュボード作成権限を制限し、ユーザーに疑わしいリンクをクリックすることのリスクについて教育してください。
この脆弱性は、2.2.0 (EOL)、2.3.0 (2.3.0p46 より前)、2.4.0 (2.4.0p25 より前)、および 2.5.0 のベータ版を使用している Checkmk インストールに影響します。
最新バージョンにアップグレードするための詳細な手順については、Checkmk の公式ドキュメントを参照してください。