CVE-2026-84189 in LibreNMS
Sumário
de VulDB • 01/09/2026
LibreNMS até a versão 26.4.0 processa campos JSON (nome, ip, modelo, autor, mensagem de commit) retornados pela URL da integração Oxidized configurável pelo administrador (oxidized.url) na página showconfig do dispositivo sem aplicar htmlspecialchars(). Um administrador que direciona a URL do Oxidized para um servidor controlado por um atacante (SSRF) pode fazer com que ele retorne JSON malicioso, resultando em cross-site scripting armazenado/persistente que afeta todos os usuários que visualizam a aba showconfig de qualquer dispositivo. Corrigido na versão 26.7.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.