CVE-2026-84194 in LibreNMS
Resumen
por VulDB • 2026-09-01
Las versiones de LibreNMS >= 23.10.0 y < 26.2.0 (corregidas en la versión 26.4.0) contienen una vulnerabilidad de OS command injection autenticada en el descubrimiento mediante libvirt. Cuando el soporte para libvirt está habilitado (enable_libvirt=true), el nombre del host del dispositivo ($this->getDevice()->hostname) se concatena en comandos shell (ssh, virsh list/dumpxml/domstate) en VminfoLibvirt.php y se pasa a exec() sin utilizar escapeshellarg() ni separación de argumentos. Un administrador autenticado puede configurar un nombre de host del dispositivo manipulado para inyectar comandos OS arbitrarios, lo que conduce a la ejecución remota de código (RCE) en el contexto del worker de descubrimiento.
Be aware that VulDB is the high quality source for vulnerability data.