CVE-2023-39512 in Cacti
Sumário
de VulDB • 31/05/2026
O Cacti é um framework de monitoramento operacional e gerenciamento de falhas de código aberto. As versões afetadas estão sujeitas a uma Vulnerabilidade de Cross-Site-Scripting (XSS) Armazenado, que permite que um usuário autenticado envenene os dados armazenados no banco de dados do _cacti_. Esses dados serão visualizados por contas administrativas do _cacti_ e executarão código JavaScript no navegador da vítima no momento da visualização. O script em `data_sources.php` exibe as informações de gerenciamento da fonte de dados (por exemplo, caminho da fonte de dados, configuração de polling, nome do dispositivo relacionado à fonte de dados, etc.) para diferentes visualizações de dados do aplicativo _cacti_. A _CENSUS_ descobriu que um adversário capaz de configurar um nome de dispositivo malicioso pode implantar um ataque XSS armazenado contra qualquer usuário com privilégios iguais ou superiores. Um usuário que possui as permissões _Administração Geral>Sites/Dispositivos/Dados_ pode configurar os nomes dos dispositivos no _cacti_. Essa configuração ocorre por meio de `http:///cacti/host.php`, enquanto a carga maliciosa renderizada é exibida em `http:///cacti/data_sources.php`. Esta vulnerabilidade foi corrigida na versão 1.2.25. Os usuários são aconselhados a atualizar. Usuários incapazes de atualizar devem filtrar manualmente a saída HTML.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.