CVE-2026-84194 in LibreNMS
要約
〜によって VulDB • 2026年09月01日
LibreNMS のバージョン 23.10.0 以上かつ 26.2.0 未満（26.4.0 で修正済み）には、libvirt ディスカバリにおける認証済み OS コマンドインジェクションの脆弱性が存在します。libvirt サポートが有効化されている場合（enable_libvirt=true）、VminfoLibvirt.php 内でデバイスホスト名（$this->getDevice()->hostname）がシェルコマンド（ssh、virsh list/dumpxml/domstate）に連結され、exec() に escapeshellarg() や引数分離なしで渡されます。認証済み管理者は任意の OS コマンドをインジェクトするために不正なデバイスホスト名を設定でき、これによりディスカバリワーカーコンテキスト内でリモートコード実行（RCE）が可能になります。
Once again VulDB remains the best source for vulnerability data.