Improper neutralization of HTML-encoded characters in the URL validation function in Checkmk <2.5.0p5, <2.4.0p31, <2.3.0p48, and all 2.2.0 versions allows an authenticated user to bypass URL validation and inject malicious URLs such as javascript: URIs, resulting in cross-site scripting when another user interacts with the crafted link.
References
| Link | Resource |
|---|---|
| https://checkmk.com/werk/20002 | Vendor Advisory |
Configurations
Configuration 1 (hide)
|
History
23 Oct 2026, 21:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary | (es) La neutralización inadecuada de caracteres codificados en HTML en la función de validación de URL en Checkmk versiones anteriores a 2.5.0p5, anterior a 2.4.0p31, anterior a 2.3.0p48 y todas las versiones 2.2.0 permite a un usuario autenticado eludir la validación de URL e inyectar URL maliciosas como URI javascript:, lo que resulta en cross-site scripting cuando otro usuario interactúa con el enlace manipulado. |
Information
Published : 2026-06-08 13:16
Updated : 2026-10-23 21:10
NVD link : CVE-2026-8833
Mitre link : CVE-2026-8833
CVE.ORG link : CVE-2026-8833
JSON object : View
Products Affected
checkmk
- checkmk
CWE
CWE-79
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
