CVE-2026-109355

LibreNMS przed 26.9.0 zawiera podatność na wstrzyknięcie filtra LDAP w trybach ldap-authorization i ad-authorization, ponieważ nazwy użytkowników są wstawiane bez escapowania do filtrów wyszukiwania LDAP, a uwierzytelnianie sprawdza tylko istnienie użytkownika. Gdy REMOTE_USER nie jest przekazywany, nieuwierzytelnieni atakujący mogą wysłać nazwę użytkownika z wildcardem przez HTTP Basic Authorization (PHP_AUTH_USER), aby dopasować wszystkich użytkowników i grupy i uzyskać dostęp administratora.

LibreNMS przed wersją 26.9.0 zawiera brak autoryzacji w PortsController::purge, co pozwala użytkownikom z globalnym dostępem do odczytu na fizyczne usuwanie portów bez uprawnień do usuwania. Atakujący z kontami tylko do odczytu mogą wysyłać żądania DELETE do /ports/purge, używając purge=all, aby nieodwracalnie usunąć wszystkie usunięte porty na wszystkich widocznych urządzeniach.

LibreNMS przed wersją 26.9.0 zawiera podatność na trwały cross-site scripting w pliku includes/html/pages/device/wireless.inc.php, który wyświetla wartości sensor_descr czujników bezprzewodowych, pochodzące z pól SNMP DisplayString podczas odkrywania, bez escapowania do HTML. Atakujący kontrolujący agenta SNMP monitorowanego urządzenia mogą ustawić wartości takie jak AI-AP-MIB::aiSSID na złośliwy JavaScript, który wykonuje się, gdy uwierzytelnieni użytkownicy przeglądają zakładkę Wireless urządzenia, umożliwiając przejęcie sesji.

LibreNMS przed wersją 26.8.0 zawiera podatność na ominięcie uwierzytelniania w REST API, która pozwala nieuwierzytelnionym atakującym na dostęp do chronionych punktów końcowych poprzez wysyłanie wartości numerycznych zamiast tokenów tekstowych. Atakujący mogą wykorzystać koercję typów w MySQL, wysyłając małe liczby całkowite, takie jak 0-9, aby dopasować hasze tokenów, uzyskując dostęp do funkcji API, w tym do poświadczeń urządzeń i funkcji administracyjnych, które umożliwiają zdalne wykonanie kodu przez szablony alertów.

LibreNMS w wersjach przed 24.10.0 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez wstrzyknięcie poleceń systemowych w metodach index() w AboutController.php, update() w SettingsController.php oraz initRrdDirectory() w PollDevice.php.

LibreNMS przed wersją 26.9.0 zawiera podatność na path traversal w pliku nfsen_channel_common.inc.php, która pozwala uwierzytelnionym użytkownikom czytać nieautoryzowane dane RRD poprzez wstrzyknięcie sekwencji ../ do parametru channel. Atakujący z dostępem do jednego urządzenia z włączonym NFSen mogą wysłać żądanie do graph.php z przekroczoną wartością channel, aby przeglądać wykresy ruchu i NetFlow urządzeń spoza ich autoryzowanego zakresu.

LibreNMS przed 26.9.0 zawiera podatność na wstrzyknięcie SQL, która pozwala nieuprzywilejowanym użytkownikom na wstrzyknięcie SQL poprzez dostarczenie parametru notification_id w postaci tablicy do notifications.inc.php. Atakujący mogą przeprowadzać odczyty między tabelami, w tym hashy haseł użytkowników, a wyniki są zapisywane w notifications_attribs i czytelne przez interfejs.

LibreNMS do wersji 26.9.1.1 zawiera obejście autoryzacji w includes/html/graphs/smokeping/auth.inc.php, które sprawdza urządzenie źródłowe (probe) zamiast docelowego. Ograniczeni użytkownicy mający dostęp do urządzenia typu probe mogą żądać wykresów smokeping_in lub smokeping_out z dowolnym identyfikatorem urządzenia, aby przeglądać dane opóźnień i uzyskiwać nazwy urządzeń.

W LibreNMS 1.65 uwierzytelniony zdalny atakujący z normalnymi uprawnieniami może wyodrębnić wszystkie informacje z bazy danych poprzez wstrzyknięcie SQL w parametrze searchPhrase w punkcie końcowym API /ajax_table.php. Podatność dotyczy wielu plików w includes/html/table, m.in. as-selection.inc.php, edit-ports.inc.php, alertlog-stats.inc.php, alerts.inc.php, eventlog.inc.php, inventory.inc.php, ix-list.inc.php, ix-peers.inc.php, mempool-edit.inc.php, mempool.inc.php, poll-log.inc.php, processor-edit.inc.php, processor.inc.php, routing-edit.inc.php, sensors-common.inc.php, storage-edit.inc.php, storage.inc.php i toner.inc.php.

LibreNMS przed wersją 26.8.0 zawiera podatność na wstrzykiwanie argumentów w parametrze graph_title, która pozwala uwierzytelnionym atakującym na wstrzykiwanie dowolnych argumentów rrdtool poprzez złamanie escapowania podwójnych cudzysłowów. Atakujący mogą wstrzyknąć argumenty DEF i LINE, aby odczytać pliki RRD z nieautoryzowanych urządzeń, lub użyć wstrzyknięcia nowej linii do wykonania dowolnych poleceń rrdtool, omijając kontrolę autoryzacji per urządzenie.