CVE-2026-39951
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 — wyżej niż 13% wszystkich znanych CVE
Streszczenie
Cacti to otwartoźródłowe narzędzie do zarządzania wydajnością i awariami. W wersjach 1.2.30 i wcześniejszych odkryto podatność na wstrzykiwanie SQL (SQL Injection) w funkcji Reports, poprzez parametr graph_name_regexp. Luka została załatana w wersji 1.2.31.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania dowolnych zapytań SQL na bazie danych, co może prowadzić do wycieku, modyfikacji lub usunięcia danych, a także do eskalacji uprawnień w systemie.
Rekomendacja
Należy niezwłocznie zaktualizować Cacti do wersji 1.2.31 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do funkcji Reports tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Cacti is an open source performance and fault management framework. Versions 1.2.30 and prior have a Stored SQL Injection vulnerability through graph_name_regexp in the Reports feature. This issue has been fixed in version 1.2.31.