CVE-2023-39512 in Cacti
الملخص
بحسب VulDB • 02/06/2026
Cacti هو إطار عمل مفتوح المصدر للمراقبة التشغيلية وإدارة الأعطال. الإصدارات المتأثرة معرضة لثغرة تخزين البرمجة النصية عبر المواقع (Stored Cross-Site-Scripting - XSS) التي تتيح لمستخدم مُصادَق عليه تسميم البيانات المخزنة في قاعدة بيانات _cacti_. سيتم عرض هذه البيانات بواسطة حسابات _cacti_ الإدارية وتنفيذ أكواد JavaScript في متصفح الضحية عند وقت العرض. يعرض السcript الموجود في `data_sources.php` معلومات إدارة مصدر البيانات (مثل مسار مصدر البيانات، تكوين الاستطلاع، اسم الجهاز المرتبط بمصدر البيانات، إلخ.) لتصورات بيانات مختلفة لتطبيق _cacti_. وجدت _CENSUS_ أن الخصم القادر على تكوين اسم جهاز خبيث يمكنه نشر هجوم XSS مخزن ضد أي مستخدم لنفس الصلاحيات (أو أوسع). يمكن للمستخدم الذي يمتلك صلاحيات _General Administration>Sites/Devices/Data_ تكوين أسماء الأجهزة في _cacti_. يحدث هذا التكوين من خلال `http:///cacti/host.php`، بينما يتم عرض الحمولة الضارة المُصاغة في `http:///cacti/data_sources.php`. تم معالجة هذه الثغرة في الإصدار 1.2.25. يُنصح المستخدمون بالترقية. وينصح المستخدمون غير القادرين على التحديث بتصفية مخرجات HTML يدوياً.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.