CVE-2026-109356
ŚrednieCVSS 4.3Streszczenie
LibreNMS przed wersją 26.9.0 zawiera brak autoryzacji w PortsController::purge, co pozwala użytkownikom z globalnym dostępem do odczytu na fizyczne usuwanie portów bez uprawnień do usuwania. Atakujący z kontami tylko do odczytu mogą wysyłać żądania DELETE do /ports/purge, używając purge=all, aby nieodwracalnie usunąć wszystkie usunięte porty na wszystkich widocznych urządzeniach.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego usunięcia danych monitorowania sieci, co może prowadzić do utraty informacji o konfiguracji portów i zakłócenia działania narzędzi do zarządzania siecią.
Rekomendacja
Zaleca się natychmiastową aktualizację LibreNMS do wersji 26.9.0 lub nowszej, która usuwa tę podatność. Dodatkowo należy ograniczyć uprawnienia kont użytkowników i monitorować żądania DELETE do endpointu /ports/purge.
Inne podatności w LibreNMS
Zobacz wszystkie- CVE-2026-109357Wysokie
LibreNMS przed 26.9.0 zawiera podatność na wstrzyknięcie filtra LDAP w trybach ldap-authorization i ad-authorization, ponieważ nazwy użytkowników są wstawiane bez escapowania do filtrów wyszukiwania LDAP, a uwierzytelnianie sprawdza tylko istnienie użytkownika. Gdy REMOTE_USER nie jest przekazywany, nieuwierzytelnieni atakujący mogą wysłać nazwę użytkownika z wildcardem przez HTTP Basic Authorization (PHP_AUTH_USER), aby dopasować wszystkich użytkowników i grupy i uzyskać dostęp administratora.
- CVE-2026-109352Średnie
LibreNMS przed wersją 26.9.0 zawiera podatność na trwały cross-site scripting w pliku includes/html/pages/device/wireless.inc.php, który wyświetla wartości sensor_descr czujników bezprzewodowych, pochodzące z pól SNMP DisplayString podczas odkrywania, bez escapowania do HTML. Atakujący kontrolujący agenta SNMP monitorowanego urządzenia mogą ustawić wartości takie jak AI-AP-MIB::aiSSID na złośliwy JavaScript, który wykonuje się, gdy uwierzytelnieni użytkownicy przeglądają zakładkę Wireless urządzenia, umożliwiając przejęcie sesji.
- CVE-2026-86426Krytyczne
LibreNMS przed wersją 26.8.0 zawiera podatność na ominięcie uwierzytelniania w REST API, która pozwala nieuwierzytelnionym atakującym na dostęp do chronionych punktów końcowych poprzez wysyłanie wartości numerycznych zamiast tokenów tekstowych. Atakujący mogą wykorzystać koercję typów w MySQL, wysyłając małe liczby całkowite, takie jak 0-9, aby dopasować hasze tokenów, uzyskując dostęp do funkcji API, w tym do poświadczeń urządzeń i funkcji administracyjnych, które umożliwiają zdalne wykonanie kodu przez szablony alertów.
- CVE-2024-51092Krytyczne
LibreNMS w wersjach przed 24.10.0 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez wstrzyknięcie poleceń systemowych w metodach index() w AboutController.php, update() w SettingsController.php oraz initRrdDirectory() w PollDevice.php.
- CVE-2026-109355Średnie
LibreNMS przed wersją 26.9.0 zawiera podatność na trwały cross-site scripting w funkcji get_oxidized_nodes_list(), która renderuje pola API Oxidized i SNMP sysName bez odpowiedniego escapowania. Atakujący kontrolujący odpowiedź Oxidized lub sysName urządzenia mogą wstrzyknąć skrypt, który wykonuje się w przeglądarkach użytkowników odwiedzających stronę Tools Oxidized.
- CVE-2026-109354Średnie
LibreNMS przed wersją 26.9.0 zawiera podatność na path traversal w pliku nfsen_channel_common.inc.php, która pozwala uwierzytelnionym użytkownikom czytać nieautoryzowane dane RRD poprzez wstrzyknięcie sekwencji ../ do parametru channel. Atakujący z dostępem do jednego urządzenia z włączonym NFSen mogą wysłać żądanie do graph.php z przekroczoną wartością channel, aby przeglądać wykresy ruchu i NetFlow urządzeń spoza ich autoryzowanego zakresu.
- CVE-2026-109353Wysokie
LibreNMS przed 26.9.0 zawiera podatność na wstrzyknięcie SQL, która pozwala nieuprzywilejowanym użytkownikom na wstrzyknięcie SQL poprzez dostarczenie parametru notification_id w postaci tablicy do notifications.inc.php. Atakujący mogą przeprowadzać odczyty między tabelami, w tym hashy haseł użytkowników, a wyniki są zapisywane w notifications_attribs i czytelne przez interfejs.
- CVE-2026-108715Średnie
LibreNMS do wersji 26.9.1.1 zawiera obejście autoryzacji w includes/html/graphs/smokeping/auth.inc.php, które sprawdza urządzenie źródłowe (probe) zamiast docelowego. Ograniczeni użytkownicy mający dostęp do urządzenia typu probe mogą żądać wykresów smokeping_in lub smokeping_out z dowolnym identyfikatorem urządzenia, aby przeglądać dane opóźnień i uzyskiwać nazwy urządzeń.
- CVE-2020-15875Średnie
W LibreNMS 1.65 uwierzytelniony zdalny atakujący z normalnymi uprawnieniami może wyodrębnić wszystkie informacje z bazy danych poprzez wstrzyknięcie SQL w parametrze searchPhrase w punkcie końcowym API /ajax_table.php. Podatność dotyczy wielu plików w includes/html/table, m.in. as-selection.inc.php, edit-ports.inc.php, alertlog-stats.inc.php, alerts.inc.php, eventlog.inc.php, inventory.inc.php, ix-list.inc.php, ix-peers.inc.php, mempool-edit.inc.php, mempool.inc.php, poll-log.inc.php, processor-edit.inc.php, processor.inc.php, routing-edit.inc.php, sensors-common.inc.php, storage-edit.inc.php, storage.inc.php i toner.inc.php.
- CVE-2026-86427Wysokie
LibreNMS przed wersją 26.8.0 zawiera podatność na wstrzykiwanie argumentów w parametrze graph_title, która pozwala uwierzytelnionym atakującym na wstrzykiwanie dowolnych argumentów rrdtool poprzez złamanie escapowania podwójnych cudzysłowów. Atakujący mogą wstrzyknąć argumenty DEF i LINE, aby odczytać pliki RRD z nieautoryzowanych urządzeń, lub użyć wstrzyknięcia nowej linii do wykonania dowolnych poleceń rrdtool, omijając kontrolę autoryzacji per urządzenie.
Oryginalny opis (angielski, źródło NVD)
LibreNMS before 26.9.0 contains a missing authorization vulnerability in PortsController::purge that allows global-read users to physically delete ports without delete privileges. Attackers with read-only accounts can send DELETE requests to /ports/purge, using purge=all to irreversibly erase every deleted port on all visible devices.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS