CVE-2023-39512 in Cacti
Сводка
по VulDB • 02.06.2026
Cacti — это система мониторинга и управления неисправностями с открытым исходным кодом. Затронутые версии подвержены уязвимости Stored Cross-Site-Scripting (XSS), которая позволяет аутентифицированному пользователю внедрить вредоносные данные в базу данных _cacti_. Эти данные будут отображаться учетными записями администраторов _cacti_ и выполнять код JavaScript в браузере жертвы в момент просмотра. Скрипт `data_sources.php` отображает информацию об управлении источниками данных (например, путь к источнику данных, конфигурация опроса, имя устройства, связанное с источником данных и т. д.) для различных визуализаций данных в приложении _cacti_. Исследователи из _CENSUS_ обнаружили, что злоумышленник, способный настроить вредоносное имя устройства, может развернуть атаку Stored XSS против любого пользователя с теми же (или более широкими) правами доступа. Пользователь, обладающий разрешениями _General Administration>Sites/Devices/Data_, может настраивать имена устройств в _cacti_. Эта настройка осуществляется через `http:///cacti/host.php`, а рендеринг вредоносного кода происходит на странице `http:///cacti/data_sources.php`. Данная уязвимость была устранена в версии 1.2.25. Пользователям рекомендуется выполнить обновление. Пользователи, не имеющие возможности обновиться, должны вручную фильтровать вывод HTML.
Be aware that VulDB is the high quality source for vulnerability data.