در نسخه‌های پیش از 26.2.120.1449 نرم‌افزار Paessler PRTG Network Monitor، یک آسیب‌پذیری از نوع Reflected Cross-Site Scripting (XSS) شناسایی شده است که شناسه‌ی CVE-2026-4637 را یدک می‌کشد.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی زمانی رخ می‌دهد که درخواستی برای یک منبع غیرموجود که با پسوند .htm پایان می‌یابد، ارسال شود. در این حالت، رابط وب (Web Interface) یک صفحه خطای HTTP 403 با عنوان “Forbidden Path” بازمی‌گرداند. مشکل اینجاست که مسیر URL درخواست شده، بدون هیچ‌گونه پاک‌سازی (Sanitization) یا کدگذاری خروجی (Output Encoding) مناسب، مستقیماً در بدنه پاسخ HTML قرار می‌گیرد.
سناریوی حمله
یک مهاجم از راه دور و بدون نیاز به احراز هویت (Unauthenticated)، می‌تواند با طراحی یک URL حاوی کدهای مخرب HTML یا JavaScript در مسیر درخواست، این آسیب‌پذیری را فعال کند. در صورتی که کاربر هدف روی این لینک کلیک کند، کدهای تزریق شده در محیط مرورگر کاربر اجرا خواهند شد که می‌تواند منجر به سرقت Session Cookies یا اجرای عملیات غیرمجاز در سطح دسترسی کاربر شود.
توصیه امنیتی
به مدیران شبکه و متخصصان امنیت توصیه می‌شود در سریع‌ترین زمان ممکن، نرم‌افزار PRTG را به نسخه‌ی 26.2.120.1449 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا این حفره امنیتی بسته شود.
