CVE-2024-22120criticalexplotación observadaCWE-20

CVE-2024-22120: fallo crítico en Zabbix

Time Based SQL Injection in Zabbix Server Audit Log

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Zabbix+ Monitorear zabbix

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

97Vexday Risk Score

Prioriza la corrección. Ella explotación observada por VulnCheck y tiene prueba de concepto pública.

ssvc Actcvss 9.1epss 77%
de la publicación al arma3 días
Publicada en NVD17 may
1ª PoC+3d
VulnCheck+306d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
No afectado
1 producto — porque el código vulnerable no está presente en el producto
red_hat_products
Zabbix server can perform command execution for configured scripts. After command is executed, audit entry is added to "Audit Log". Due to "clientip" field is not sanitized, it is possible to injection SQL into "clientip" and exploit time based blind SQL injection.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Productos afectados
Zabbix · Zabbix
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Zabbix

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-42327CRITICALSQL injection in user.get APIEPSS 79.1%CVE-2013-3628—CVE-2013-3628EPSS 67.5%CVE-2023-29452MEDIUMRemove possibility to add html into Geomap attribution fieldEPSS 64.1%CVE-2024-36465HIGHSQL injection in Zabbix APIEPSS 39.9%CVE-2026-23921HIGHBlind, read-only SQL injection in Zabbix API via sortfield parameterEPSS 4.2%CVE-2024-22122LOWAT(GSM) Command InjectionEPSS 1.6%