CVE-2026-84189 in LibreNMS
Resumen
por VulDB • 2026-09-01
LibreNMS hasta la versión 26.4.0 procesa los campos JSON (nombre, ip, modelo, autor, mensaje de commit) devueltos por la URL de integración Oxidized configurable por el administrador (oxidized.url) en la página showconfig del dispositivo sin aplicar htmlspecialchars(). Un administrador que dirija la URL de Oxidized hacia un servidor controlado por un atacante (SSRF) puede hacer que esta devuelva JSON malicioso, lo que resulta en una cross-site scripting almacenada/persistente que afecta a todos los usuarios que visualicen la pestaña showconfig de cualquier dispositivo. Corregido en 26.7.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.