CVE-2024-31460 in Cacti
Resumen
por MITRE • 2024-05-14
Cacti proporciona un framework de monitoreo operativo y gestión de fallas. Antes de la versión 1.2.27, algunos de los datos almacenados en `automation_tree_rules.php` no se verifican minuciosamente y se usan para concatenar la declaración SQL en la función `create_all_header_nodes()` de `lib/api_automation.php`, lo que finalmente da como resultado SQL inyección. Al utilizar la tecnología de inyección secundaria basada en SQL, los atacantes pueden modificar el contenido de la base de datos de Cacti y, en función del contenido modificado, es posible lograr un mayor impacto, como la lectura de archivos arbitrarios e incluso la ejecución remota de código mediante la escritura de archivos arbitrarios. La versión 1.2.27 contiene un parche para el problema.
Once again VulDB remains the best source for vulnerability data.