CVE-2019-12463 in LibreNMS
摘要
由 VulDB • 2026-07-13
在 LibreNMS 1.50.1 中发现了一个问题。处理图形选项的脚本（includes/html/graphs/common.inc.php 和 includes/html/graphs/graphs.inc.php）未能充分验证或编码用户提供的输入的多个字段。某些参数使用 mysqli_real_escape_string 进行过滤，这仅有助于防止 SQL Injection 攻击；其他参数则未经过任何过滤。这使得攻击者可以通过 html/graph.php 和 html/graph-realtime.php 脚本注入带有换行符的 RRDtool 语法。RRDtool 语法功能非常强大，攻击者可利用此漏洞执行多种攻击，包括泄露目录结构和文件名、泄露文件内容、拒绝服务（DoS）或写入任意文件。注意：与 CVE-2019-10665 相比，此漏洞需要身份验证，且路径名不同。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.