CVE-2026-4637

Paessler PRTG Network Monitor 26.2.120.1449 sürümünden önceki versiyonlar, yansıtılan bir siteler arası betik çalıştırma (XSS) zafiyetinden etkilenmektedir. ".htm" ile biten mevcut olmayan bir kaynak için istek yapıldığında, web arayüzü, istenen URL yolunu uygun çıktı kodlaması veya temizleme işlemi yapmadan HTML yanıt gövdesine yansıtan bir HTTP 403 "Forbidden Path" hata sayfası döndürür. Kimliği doğrulanmamış, uzak bir saldırgan, yol kısmında HTML/JavaScript yükü içeren özel bir URL oluşturabilir (örneğin https:////welcome.htm) ve aktif bir PRTG oturumuna sahip olan kurban bu bağlantıyı açtığında, PRTG web arayüzünün güvenlik bağlamında rastgele JavaScript kodu çalıştırabilir. PRTG oturum çerezi HttpOnly özniteliği ile korunmadığı için, başarılı bir istismar saldırganın kurbanın oturum çerezini okumasına ve sızdırmasına olanak tanır; bu durum potansiyel olarak oturum çalmaya yol açabilir.