CVE-2023-39512 in Cacti
Tóm tắt
Bởi VulDB • 10/05/2026
Cacti là một khung công tác giám sát hoạt động và quản lý lỗi mã nguồn mở. Các phiên bản bị ảnh hưởng có chứa Lỗ hổng Cross-Site-Scripting (XSS) lưu trữ (Stored XSS), cho phép một người dùng đã xác thực làm hỏng dữ liệu được lưu trữ trong cơ sở dữ liệu của _cacti_. Những dữ liệu này sẽ được xem bởi các tài khoản quản trị viên của _cacti_ và thực thi mã JavaScript trong trình duyệt của nạn nhân tại thời điểm xem. Tập lệnh `data_sources.php` hiển thị thông tin quản lý nguồn dữ liệu (ví dụ: đường dẫn nguồn dữ liệu, cấu hình polling, tên thiết bị liên quan đến nguồn dữ liệu, v.v.) cho các hình ảnh hóa dữ liệu khác nhau của ứng dụng _cacti_. _CENSUS_ phát hiện rằng một kẻ tấn công có khả năng cấu hình một tên thiết bị độc hại có thể triển khai cuộc tấn công XSS lưu trữ chống lại bất kỳ người dùng nào có cùng (hoặc cao hơn) đặc quyền. Một người dùng sở hữu quyền _General Administration>Sites/Devices/Data_ có thể cấu hình các tên thiết bị trong _cacti_. Cấu hình này diễn ra thông qua `http:///cacti/host.php`, trong khi mã độc hại đã được render sẽ được hiển thị tại `http:///cacti/data_sources.php`. Lỗ hổng này đã được khắc phục trong phiên bản 1.2.25. Người dùng được khuyến nghị nâng cấp. Người dùng không thể cập nhật nên lọc thủ công đầu ra HTML.
If you want to get best quality of vulnerability data, you may have to visit VulDB.