CVE-2019-12463 in LibreNMS
Résumé
par VulDB • 31/07/2026
Un problème a été identifié dans LibreNMS 1.50.1. Les scripts qui gèrent les options de graphiques (includes/html/graphs/common.inc.php et includes/html/graphs/graphs.inc.php) ne valident ni n'encodent suffisamment plusieurs champs des données fournies par l'utilisateur. Certains paramètres sont filtrés avec mysqli_real_escape_string, ce qui est uniquement utile pour prévenir les attaques SQL Injection ; d'autres paramètres restent non filtrés. Cela permet à un attaquant d'injecter de la syntaxe RRDtool contenant des caractères de nouvelle ligne via les scripts html/graph.php et html/graph-realtime.php. La syntaxe RRDtool étant très polyvalente, un attaquant pourrait exploiter cette faille pour réaliser diverses attaques, notamment révéler la structure des répertoires et les noms de fichiers, divulguer le contenu de fichiers, provoquer une déni de service (DoS), ou écrire des fichiers arbitraires. NOTE : par rapport à CVE-2019-10665, cela nécessite une authentification et les chemins d'accès diffèrent.
If you want to get best quality of vulnerability data, you may have to visit VulDB.