CVE-2025-62411

LibreNMS przed wersją 26.8.0 zawiera podatność na ominięcie uwierzytelniania w REST API, która pozwala nieuwierzytelnionym atakującym na dostęp do chronionych punktów końcowych poprzez wysyłanie wartości numerycznych zamiast tokenów tekstowych. Atakujący mogą wykorzystać koercję typów w MySQL, wysyłając małe liczby całkowite, takie jak 0-9, aby dopasować hasze tokenów, uzyskując dostęp do funkcji API, w tym do poświadczeń urządzeń i funkcji administracyjnych, które umożliwiają zdalne wykonanie kodu przez szablony alertów.

LibreNMS w wersjach przed 24.10.0 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez wstrzyknięcie poleceń systemowych w metodach index() w AboutController.php, update() w SettingsController.php oraz initRrdDirectory() w PollDevice.php.

LibreNMS w wersjach przed 25.11.0 zawiera podatność blind SQL injection opartą na wartościach logicznych w punkcie końcowym /ajax_output.php. Parametr hostname jest wstawiany bezpośrednio do zapytania SQL bez odpowiedniej sanityzacji lub wiązania parametrów, co pozwala atakującemu manipulować logiką zapytania i wnioskować dane z bazy poprzez warunkowe odpowiedzi. Problem naprawiono w wersji 25.11.0.

LibreNMS przed 26.9.0 zawiera podatność na wstrzyknięcie filtra LDAP w trybach ldap-authorization i ad-authorization, ponieważ nazwy użytkowników są wstawiane bez escapowania do filtrów wyszukiwania LDAP, a uwierzytelnianie sprawdza tylko istnienie użytkownika. Gdy REMOTE_USER nie jest przekazywany, nieuwierzytelnieni atakujący mogą wysłać nazwę użytkownika z wildcardem przez HTTP Basic Authorization (PHP_AUTH_USER), aby dopasować wszystkich użytkowników i grupy i uzyskać dostęp administratora.

LibreNMS przed wersją 26.9.0 zawiera brak autoryzacji w PortsController::purge, co pozwala użytkownikom z globalnym dostępem do odczytu na fizyczne usuwanie portów bez uprawnień do usuwania. Atakujący z kontami tylko do odczytu mogą wysyłać żądania DELETE do /ports/purge, używając purge=all, aby nieodwracalnie usunąć wszystkie usunięte porty na wszystkich widocznych urządzeniach.

LibreNMS przed wersją 26.9.0 zawiera podatność na trwały cross-site scripting w funkcji get_oxidized_nodes_list(), która renderuje pola API Oxidized i SNMP sysName bez odpowiedniego escapowania. Atakujący kontrolujący odpowiedź Oxidized lub sysName urządzenia mogą wstrzyknąć skrypt, który wykonuje się w przeglądarkach użytkowników odwiedzających stronę Tools Oxidized.

LibreNMS przed wersją 26.9.0 zawiera podatność na path traversal w pliku nfsen_channel_common.inc.php, która pozwala uwierzytelnionym użytkownikom czytać nieautoryzowane dane RRD poprzez wstrzyknięcie sekwencji ../ do parametru channel. Atakujący z dostępem do jednego urządzenia z włączonym NFSen mogą wysłać żądanie do graph.php z przekroczoną wartością channel, aby przeglądać wykresy ruchu i NetFlow urządzeń spoza ich autoryzowanego zakresu.

LibreNMS przed 26.9.0 zawiera podatność na wstrzyknięcie SQL, która pozwala nieuprzywilejowanym użytkownikom na wstrzyknięcie SQL poprzez dostarczenie parametru notification_id w postaci tablicy do notifications.inc.php. Atakujący mogą przeprowadzać odczyty między tabelami, w tym hashy haseł użytkowników, a wyniki są zapisywane w notifications_attribs i czytelne przez interfejs.

LibreNMS przed wersją 26.9.0 zawiera podatność na trwały cross-site scripting w pliku includes/html/pages/device/wireless.inc.php, który wyświetla wartości sensor_descr czujników bezprzewodowych, pochodzące z pól SNMP DisplayString podczas odkrywania, bez escapowania do HTML. Atakujący kontrolujący agenta SNMP monitorowanego urządzenia mogą ustawić wartości takie jak AI-AP-MIB::aiSSID na złośliwy JavaScript, który wykonuje się, gdy uwierzytelnieni użytkownicy przeglądają zakładkę Wireless urządzenia, umożliwiając przejęcie sesji.

LibreNMS do wersji 26.9.1.1 zawiera obejście autoryzacji w includes/html/graphs/smokeping/auth.inc.php, które sprawdza urządzenie źródłowe (probe) zamiast docelowego. Ograniczeni użytkownicy mający dostęp do urządzenia typu probe mogą żądać wykresów smokeping_in lub smokeping_out z dowolnym identyfikatorem urządzenia, aby przeglądać dane opóźnień i uzyskiwać nazwy urządzeń.