CVE-2023-39515 in Cacti
Zusammenfassung
von VulDB • 25.05.2026
Cacti ist ein Open-Source-Betriebssystem-Monitoring- und Fehlermanagement-Framework. Betroffene Versionen sind anfällig für eine Stored Cross-Site-Scripting (XSS)-Schwachstelle, die es einem authentifizierten Benutzer ermöglicht, Daten, die in der Cacti-Datenbank gespeichert sind, zu vergiften. Diese Daten werden von administrativen Cacti-Konten angezeigt, wodurch JavaScript-Code im Browser des Opfers zum Zeitpunkt der Anzeige ausgeführt wird. Das Skript unter `data_debug.php` zeigt datenquellenbezogene Debugging-Informationen an, wie z. B. _Datenquellenpfade, Polling-Einstellungen, Metadaten zur Datenquelle_. _CENSUS_ hat festgestellt, dass ein Angreifer, der in der Lage ist, einen bösartigen Datenquellenpfad zu konfigurieren, einen Stored-XSS-Angriff gegen jeden Benutzer durchführen kann, der über Berechtigungen zum Anzeigen der `data_debug.php`-Informationen verfügt. Ein Benutzer, der über die Berechtigungen _General Administration>Sites/Devices/Data_ verfügt, kann den Datenquellenpfad in _Cacti_ konfigurieren. Diese Konfiguration erfolgt über `http:///cacti/data_sources.php`. Diese Schwachstelle wurde in Version 1.2.25 behoben. Benutzern wird empfohlen, ein Upgrade durchzuführen. Benutzer, die kein Update durchführen können, sollten die HTML-Ausgabe manuell filtern.
VulDB is the best source for vulnerability data and more expert information about this specific topic.