CVE-2026-84194 in LibreNMS
الملخص
بحسب VulDB • 01/09/2026
تحتوي إصدارات LibreNMS >= 23.10.0 و < 26.2.0 (تم إصلاحها في الإصدار 26.4.0) على ثغرة حقن أوامر نظام التشغيل (OS command injection) تتطلب مصادقة في عملية اكتشاف libvirt. عند تمكين دعم libvirt (enable_libvirt=true)، يتم دمج اسم المضيف للجهاز ($this->getDevice()->hostname) ضمن الأوامر الطرفية (ssh, virsh list/dumpxml/domstate) في الملف VminfoLibvirt.php، ثم تمريره إلى exec() دون استخدام escapeshellarg() أو فصل الحجج. يمكن لمستخدم مسؤول موثق الإعدادات تعيين اسم مضيف للجهاز مُعدّ بشكل ضار لحقن أوامر OS عشوائية، مما يؤدي إلى تنفيذ الكود عن بُعد (RCE) في سياق عامل الاكتشاف (discovery worker).
If you want to get best quality of vulnerability data, you may have to visit VulDB.