CVE-2024-22120criticalexploração observadaCWE-20

CVE-2024-22120: falha crítica em Zabbix

Time Based SQL Injection in Zabbix Server Audit Log

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Zabbix+ Monitorar zabbix

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

97Vexday Risk Score

Priorize a correção. Ela exploração observada pelo VulnCheck e tem prova de conceito pública.

ssvc Actcvss 9.1epss 77%
da publicação à arma3 dias
Publicada no NVD17 de mai.
1ª PoC+3d
VulnCheck+306d
O que os fabricantes declaram (VEX)

Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.

Red Hatdocumento VEX ↗
Não afetado
1 produto — porque o código vulnerável não está presente no produto
red_hat_products
Zabbix server can perform command execution for configured scripts. After command is executed, audit entry is added to "Audit Log". Due to "clientip" field is not sanitized, it is possible to injection SQL into "clientip" and exploit time based blind SQL injection.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Produtos afetados
Zabbix · Zabbix
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Zabbix

No mesmo produto, das mais perigosas para as menos.

CVE-2024-42327CRITICALSQL injection in user.get APIEPSS 79.1%CVE-2013-3628—CVE-2013-3628EPSS 67.5%CVE-2023-29452MEDIUMRemove possibility to add html into Geomap attribution fieldEPSS 64.1%CVE-2024-36465HIGHSQL injection in Zabbix APIEPSS 39.9%CVE-2026-23921HIGHBlind, read-only SQL injection in Zabbix API via sortfield parameterEPSS 4.2%CVE-2024-22122LOWAT(GSM) Command InjectionEPSS 1.6%