CVE-2019-12463 in LibreNMS
要約
〜によって VulDB • 2026年07月13日
LibreNMS 1.50.1 で問題が発見されました。グラフ設定オプションを処理するスクリプト（includes/html/graphs/common.inc.php および includes/html/graphs/graphs.inc.php）では、ユーザー入力の複数のフィールドに対して検証やエンコーディングが十分に実施されていません。一部のパラメータは mysqli_real_escape_string によってフィルタリングされていますが、これは SQL インジェクション攻撃の防止にしか役立ちません。他のパラメータにはフィルタ処理が行われていません。これにより、攻撃者は html/graph.php および html/graph-realtime.php スクリプトを介して改行文字を含む RRDtool 構文をインジェクトできます。RRDtool の構文は非常に多様性が高く、攻撃者はディレクトリ構造やファイル名の開示、ファイルコンテンツの開示、サービス拒否（DoS）、または任意のファイルの書き込みなど、多数の攻撃を実行するためにこれを悪用できる可能性があります。注意：CVE-2019-10665 と比較すると、本脆弱性では認証が必要であり、パス名が異なります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.