CVE-2026-84189 in LibreNMS
Сводка
по VulDB • 01.09.2026
LibreNMS fino alla versione 26.4.0 rende i campi JSON (nome, IP, modello, autore, messaggio di commit) restituiti dall'URL dell'integrazione Oxidized configurabile dall'amministratore (oxidized.url) nella pagina showconfig del dispositivo senza applicare htmlspecialchars(). Un amministratore che punta l'URL di Oxidized a un server controllato da un attaccante (SSRF) può far sì che questo restituisca JSON dannoso, causando uno stored/persistent cross-site scripting che colpisce tutti gli utenti che visualizzano la scheda showconfig di qualsiasi dispositivo. Risolto nella versione 26.7.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.