یک نقص امنیتی جدید با شناسه CVE-2026-14452 در نرم‌افزار Checkmk کشف شده است که به دلیل اعتبارسنجی نادرست (Improper Validation) پارامتر reset_url در بخش جستجوی داخلی (In-page search) محیط Setup رخ می‌دهد.
جزئیات فنی و مکانیسم حمله
این آسیب‌پذیری به مهاجم اجازه می‌دهد تا با فریب دادن یک کاربر احراز هویت شده که دارای دسترسی‌های Setup است، او را به باز کردن یک URL دست‌کاری شده (Crafted URL) ترغیب کند. در صورتی که کاربر پس از باز کردن لینک، روی دکمه Reset کلیک کند یا یک جستجوی خالی (Empty Search) ارسال نماید، مهاجم می‌تواند یکی از دو اقدام زیر را انجام دهد:
- اجرای اسکریپت‌های دلخواه: اجرای کد‌های مخرب در نشست (Session) کاربر آسیب‌پذیر (Cross-Site Scripting).
- تغییر مسیر (Redirection): هدایت کاربر به یک سایت خارجی مخرب.
نسخه‌های آسیب‌پذیر
این مشکل در نسخه‌های زیر مشاهده شده است:
- نسخه‌های پایین‌تر از 2.5.0p15
- نسخه‌های پایین‌تر از 2.4.0p38
- نسخه‌های پایین‌تر از 2.3.0p51
- نسخه 2.2.0 (که به پایان عمر یا EOL رسیده است)
به مدیران سیستم و تیم‌های SOC توصیه می‌شود در سریع‌ترین زمان ممکن نسبت به به‌روزرسانی نرم‌افزار به آخرین نسخه‌های منتشر شده اقدام کنند تا از سوءاستفاده احتمالی از این نقص امنیتی جلوگیری شود.
