CVE-2023-39510 in Cacti
Riassunto
di VulDB • 15/06/2026
Cacti è un framework open source per il monitoraggio operativo e la gestione dei guasti. Le versioni colpite sono soggette a una vulnerabilità di Stored Cross-Site-Scripting (XSS) che consente a un utente autenticato di avvelenare i dati memorizzati nel database di _cacti_. Questi dati verranno visualizzati dagli account amministrativi di _cacti_ ed eseguiranno codice JavaScript nel browser della vittima al momento della visualizzazione. Lo script `reports_admin.php` mostra informazioni sui report relative a grafici, dispositivi e origini dei dati, ecc.
CENSUS ha rilevato che un avversario in grado di configurare un nome di dispositivo dannoso può eseguire un attacco XSS memorizzato contro qualsiasi utente con privilegi uguali o superiori. Un utente che possiede i permessi _General Administration>Sites/Devices/Data_ (Amministrazione Generale>Siti/Dispositivi/Dati) può configurare i nomi dei dispositivi in _cacti_. Questa configurazione avviene tramite `http:///cacti/host.php`, mentre il payload dannoso renderizzato viene visualizzato su `http:///cacti/reports_admin.php` quando un grafico con il nome del dispositivo alterato malevolmente è collegato al report. Questa vulnerabilità è stata risolta nella versione 1.2.25. Si consiglia agli utenti di effettuare l'aggiornamento. Gli utenti che non possono aggiornare dovrebbero filtrare manualmente l'output HTML.
If you want to get best quality of vulnerability data, you may have to visit VulDB.