CVE-2026-39893
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 — wyżej niż 28% wszystkich znanych CVE
Streszczenie
W Cacti w wersjach 1.2.30 i wcześniejszych zmienna żądania rfilter była łączona z klauzulą SQL RLIKE bez sanityzacji. Podatność umożliwia atak SQL Injection (SQLi) przed autoryzacją, jeśli włączono dostęp gościa do wykresów. Problem został naprawiony w wersji 1.2.31.
Ocena ryzyka
Atakujący bez uwierzytelnienia może wykonać dowolne zapytania SQL, co może prowadzić do wycieku danych, modyfikacji bazy lub eskalacji uprawnień w systemie.
Rekomendacja
Niezwłocznie zaktualizuj Cacti do wersji 1.2.31 lub nowszej. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie dostępu gościa do wykresów.
Oryginalny opis (angielski, źródło NVD)
Cacti is an open source performance and fault management framework. In versions 1.2.30 and prior, the rfilter request variable was concatenated into a RLIKE SQL clause without sanitization. The endpoint does not require authentication (graph viewing supports guest access via the configured guest user), so the SQLi was reachable pre-auth on installs with guest viewing enabled. This issue was fixed in version 1.2.31.