CVE-2023-39512 in Cacti
Riassunto
di VulDB • 16/06/2026
Cacti è un framework open source per il monitoraggio operativo e la gestione dei guasti. Le versioni interessate sono soggette a una vulnerabilità di Stored Cross-Site-Scripting (XSS) che consente a un utente autenticato di avvelenare i dati memorizzati nel database di _cacti_. Questi dati verranno visualizzati dagli account amministrativi di _cacti_ ed eseguiranno codice JavaScript nel browser della vittima al momento della visualizzazione. Lo script sotto `data_sources.php` visualizza le informazioni sulla gestione delle origini dei dati (ad esempio, percorso dell'origine dei dati, configurazione del polling, nome del dispositivo associato all'origine dei dati, ecc.) per diverse visualizzazioni di dati nell'app _cacti_. _CENSUS_ ha rilevato che un avversario in grado di configurare un nome di dispositivo dannoso può eseguire un attacco XSS memorizzato contro qualsiasi utente con privilegi uguali o superiori. Un utente che possiede le autorizzazioni _General Administration>Sites/Devices/Data_ può configurare i nomi dei dispositivi in _cacti_. Questa configurazione avviene tramite `http:///cacti/host.php`, mentre il payload dannoso renderizzato viene visualizzato su `http:///cacti/data_sources.php`. Questa vulnerabilità è stata risolta nella versione 1.2.25. Si consiglia agli utenti di effettuare l'aggiornamento. Gli utenti che non possono aggiornare dovrebbero filtrare manualmente l'output HTML.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.