CVE-2023-39512 in Cacti
要約
〜によって VulDB • 2026年05月10日
Cactiは、オープンソースの運用監視および障害管理フレームワークです。影響を受けるバージョンには、認証済みユーザーが_cacti_のデータベースに格納されたデータを悪意のあるものに変更できる（データポイズニング）Stored Cross-Site-Scripting (XSS) 脆弱性が存在します。これらのデータは_cacti_の管理者アカウントによって閲覧され、閲覧時に被害者のブラウザでJavaScriptコードが実行されます。`data_sources.php`にあるスクリプトは、_cacti_アプリケーションの異なるデータ可視化のために、データソースの管理情報（例：データソースパス、ポーリング設定、データソースに関連するデバイス名など）を表示します。_CENSUS_は、悪意のあるデバイス名の設定が可能な攻撃者が、同じ（またはより広範な）権限を持つ任意のユーザーに対してStored XSS攻撃を展開できることを発見しました。_General Administration>Sites/Devices/Data_の権限を持つユーザーは、_cacti_内でデバイス名を設定できます。この設定は`http:///cacti/host.php`を通じて行われ、レンダリングされた悪意のあるペイロードは`http:///cacti/data_sources.php`で表示されます。この脆弱性はバージョン1.2.25で修正されています。ユーザーはアップグレードすることをお勧めします。アップデートが不可能なユーザーは、HTML出力を手動でフィルタリングする必要があります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.