根據其自我報告的版本號，在遠端主機上執行的 Zabbix 版本在 之前7.0.x或6.0.x6.0.48之前 7.0.29或之前 或7.4.x7.4.13之前。因此，該應用程式受到多個弱點影響：

- searchParamsToObject（） 中的原型污染弱點會導致 Google 地圖中出現持續性跨網站指令碼 （XSS），因為網址參數處理未篩選危險屬性 （例如__proto__），再加上周遊原型鏈的不安全 jQuery 元素建立。（CVE-2026-23929）

- 硬編碼會話金鑰，如在 Zabbix 7.4 中，用於簽署前端會話的加密金鑰被錯誤地寫入資料庫種子。在同時使用 SAML 驗證和訪客使用者的部署中，金鑰可用來偽造有效的工作階段 Cookie，可能導致未經授權的存取。（CVE-2026-23933）

- 一個拒絕服務弱點，因為未經驗證的使用者能夠向 popup.testtriggerexpr 動作傳送特製的要求，從而在前端 Web 伺服器上造成不成比例的 CPU 負載。CVE-2026-23930

- 一個拒絕服務弱點，因為經過驗證的使用者能夠透過向 validate.api.exists 動作傳送特製的要求，在前端 Web 伺服器上造成不成比例的 CPU 負載。CVE-2026-23934

- 一個資訊洩漏弱點，因為前端 validatate.api.exists 動作可被驗證的使用者利用來擷取純文字使用者巨集值。（CVE-2026-23931）

- 資訊洩漏弱點，因為經過驗證的使用者可利用 API host.get 動作來擷取主機的 PSK 金鑰，進而導致資料完整性損失。（CVE-2026-23937）

- 越界讀取弱點，因為 Zabbix 管理員能夠利用指令碼項目/預處理 （JavaScript） HttpRequest 邏輯中的缺陷來讀取越界記憶體。（CVE-2026-23935）

- API 和前端登入鎖定機制中的爭用情形，如果同時傳送多個不成功的登入要求，則不會正確計入封鎖計數器，可能會允許比預期更多的密碼猜測。（CVE-2026-1199）

- 憑證保護不足弱點，因為儲存後無法讀取電子郵件媒體 OAuth「用戶端密碼」欄位，但可能會被設定惡意「權杖端點」的超級管理員洩漏。（CVE-2026-23922）

- 拒絕服務弱點，因為經過身份驗證的管理員能夠通過創建特製的預處理/腳本項目 JavaScript 腳本來使 Zabbix 服務器或代理崩潰。（CVE-2026-23938）

- 不受控制的搜尋路徑元素弱點，因為 Windows 代理程式安裝程式未驗證自訂安裝目錄是否具有安全存取權限，從而增加了 DLL 側載的風險。（CVE-2026-59781）

請注意，掃描器程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - searchParamsToObject（） 中的原型污染弱點導致 Google 地圖中持續存在 XSS。URL 參數處理沒有過濾像 __proto__ 這樣的危險屬性，再加上 jQuery 遍歷原型鏈的不安全元素創建。（CVE-2026-23929）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
115509	Zabbix 7.0.x < 7.0.29 多個弱點	Web App Scanning	Component Vulnerability	2026/9/23	2026/9/23	high
115510	Zabbix 7.4.x < 7.4.13 多個弱點	Web App Scanning	Component Vulnerability	2026/9/23	2026/9/23	high
115508	Zabbix 6.0.x < 6.0.48 多個弱點	Web App Scanning	Component Vulnerability	2026/9/23	2026/9/23	high
338037	Linux Distros 未修補弱點：CVE-2026-23929	Nessus	Misc.	2026/8/19	2026/11/3	high

偵測

搜尋 Plugin

high

high

high

high