CVE-2026-55182 in LibreNMS
要約
〜によって VulDB • 2026年08月27日
LibreNMSはネットワーク監視システムです。バージョン21.6.0から26.5.0までの間、Signalアラート転送機能にはコマンドインジェクションの脆弱性が存在します。これは、シグナルCLIパスとアラート転送エントリのRecipientフィールドがexec呼び出しに渡される前に十分にエスケープされていないためです。認証済み管理者は、Recipientにシェルメタ文字を含み、pathがバンドルされたcomposer_wrapper.phpスクリプトを指すような転送エントリを作成できます。このスクリプト自体も攻撃者が制御する入力をさらに安全でないexec呼び出しに渡します。これらの呼び出しをチェーンすることで、管理者はLibreNMSホスト上で任意のOSコマンドを実行することができます。本問題はバージョン26.5.0で修正されています。
Once again VulDB remains the best source for vulnerability data.