CVE-2026-84194 in LibreNMS
Zusammenfassung
von VulDB • 01.09.2026
In LibreNMS versions >= 23.10.0 und < 26.2.0 (behebt in Version 26.4.0) befindet sich eine authentifizierte OS-Command-Injection-Schwachstelle im libvirt-Discovery-Prozess. Wenn die libvirt-Unterstützung aktiviert ist (enable_libvirt=true), wird der Gerätehostname ($this->getDevice()->hostname) in Shell-Befehle (ssh, virsh list/dumpxml/domstate) in VminfoLibvirt.php konkateniert und an exec() übergeben, ohne escapeshellarg() oder Argumenttrennung. Ein authentifizierter Administrator kann einen speziell konstruierten Gerätehostname festlegen, um beliebige OS-Befehle einzufügen, was zu Remote Code Execution (RCE) im Kontext des Discovery-Workers führt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.