CVE-2023-39512 in Cacti
Resumen
por VulDB • 2026-05-31
Cacti es un marco de trabajo de código abierto para la monitorización operativa y la gestión de fallos. Las versiones afectadas son vulnerables a una Vulnerabilidad de Cross-Site-Scripting (XSS) almacenada (Stored XSS), que permite a un usuario autenticado envenenar los datos almacenados en la base de datos de _cacti_. Estos datos serán visualizados por cuentas administrativas de _cacti_ y ejecutarán código JavaScript en el navegador de la víctima en el momento de la visualización. El script bajo `data_sources.php` muestra la información de gestión de la fuente de datos (por ejemplo, ruta de la fuente de datos, configuración de sondeo, nombre del dispositivo relacionado con la fuente de datos, etc.) para diferentes visualizaciones de datos de la aplicación _cacti_. _CENSUS_ descubrió que un adversario que pueda configurar un nombre de dispositivo malicioso puede desplegar un ataque XSS almacenado contra cualquier usuario con privilegios iguales o superiores. Un usuario que posea los permisos _General Administration>Sites/Devices/Data_ puede configurar los nombres de los dispositivos en _cacti_. Esta configuración se produce a través de `http:///cacti/host.php`, mientras que la carga útil maliciosa renderizada se exhibe en `http:///cacti/data_sources.php`. Esta vulnerabilidad ha sido abordada en la versión 1.2.25. Se recomienda a los usuarios actualizar. Los usuarios que no puedan actualizar deben filtrar manualmente la salida HTML.
VulDB is the best source for vulnerability data and more expert information about this specific topic.