CVE-2026-84190

LibreNMS przed wersją 26.8.0 zawiera podatność na wstrzykiwanie argumentów w parametrze graph_title, która pozwala uwierzytelnionym atakującym na wstrzykiwanie dowolnych argumentów rrdtool poprzez złamanie escapowania podwójnych cudzysłowów. Atakujący mogą wstrzyknąć argumenty DEF i LINE, aby odczytać pliki RRD z nieautoryzowanych urządzeń, lub użyć wstrzyknięcia nowej linii do wykonania dowolnych poleceń rrdtool, omijając kontrolę autoryzacji per urządzenie.

LibreNMS przed wersją 26.3.1 zawiera podatność na trwałe cross-site scripting (XSS) w starszych szablonach PHP, które wyświetlają dane pochodzące z SNMP i syslog bez odpowiedniego escapowania. Atakujący, który kontroluje monitorowane urządzenie sieciowe, może wstrzyknąć dowolny JavaScript przez opisy interfejsów SNMP lub pola programu syslog, który wykonuje się, gdy uwierzytelnieni użytkownicy przeglądają dotknięte strony.

LibreNMS przed wersją 26.5.0 zawiera podatności na trwały cross-site scripting na stronach wyświetlania VRF, gdzie pola mplsVpnVrfDescription, vrf_name i mplsVpnVrfRouteDistinguisher z odpytywania SNMP są renderowane bez sanityzacji. Atakujący kontrolujący monitorowane urządzenie sieciowe może wstrzyknąć dowolny JavaScript przez odpowiedzi SNMP, który wykona się w przeglądarce każdego użytkownika przeglądającego strony związane z VRF.

LibreNMS przed wersją 26.8.0 zawiera podatność na ominięcie uwierzytelniania w REST API, która pozwala nieuwierzytelnionym atakującym na dostęp do chronionych punktów końcowych poprzez wysyłanie wartości numerycznych zamiast tokenów tekstowych. Atakujący mogą wykorzystać koercję typów w MySQL, wysyłając małe liczby całkowite, takie jak 0-9, aby dopasować hasze tokenów, uzyskując dostęp do funkcji API, w tym do poświadczeń urządzeń i funkcji administracyjnych, które umożliwiają zdalne wykonanie kodu przez szablony alertów.

LibreNMS w wersjach przed 24.10.0 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez wstrzyknięcie poleceń systemowych w metodach index() w AboutController.php, update() w SettingsController.php oraz initRrdDirectory() w PollDevice.php.

LibreNMS w wersjach >= 23.10.0 i < 26.2.0 (naprawione w 26.4.0) zawiera uwierzytelnioną podatność na wstrzykiwanie poleceń systemu operacyjnego w wykrywaniu libvirt. Gdy obsługa libvirt jest włączona (enable_libvirt=true), nazwa hosta urządzenia ($this->getDevice()->hostname) jest łączona z poleceniami powłoki (ssh, virsh list/dumpxml/domstate) w VminfoLibvirt.php i przekazywana do exec() bez escapeshellarg() lub separacji argumentów. Uwierzytelniony administrator może ustawić spreparowaną nazwę hosta urządzenia, aby wstrzyknąć dowolne polecenia systemu operacyjnego, co prowadzi do zdalnego wykonania kodu w kontekście procesu odkrywania.

LibreNMS do wersji 26.2.0 zawiera podatność na trwały cross-site scripting w starszych stronach szablonów PHP, które renderują niekodowane dane pochodzące z SNMP, takie jak opisy peerów BGP, nazwy VRF, informacje o procesach i tagi SLA. Atakujący z dostępem do zarządzania urządzeniami lub dostępem sieciowym do rejestracji fałszywego urządzenia SNMP mogą wstrzyknąć złośliwy JavaScript, który wykona się, gdy administratorzy przeglądają dotknięte strony routingu i urządzeń, umożliwiając kradzież poświadczeń i eksfiltrację tokenów CSRF.

LibreNMS do wersji 26.4.0 renderuje pola JSON (name, ip, model, author, commit message) zwracane przez adres URL integracji Oxidized (oxidized.url) konfigurowany przez administratora na stronie showconfig urządzenia bez zastosowania htmlspecialchars(). Administrator, który wskaże adres URL Oxidized na serwer kontrolowany przez atakującego (SSRF), może spowodować zwrócenie złośliwego JSON, co prowadzi do trwałego cross-site scripting (XSS) wpływającego na wszystkich użytkowników przeglądających zakładkę showconfig dowolnego urządzenia. Naprawione w wersji 26.7.0.

LibreNMS w wersjach do 26.4.0 zawiera podatność na trwały cross-site scripting w ustawieniach konfiguracyjnych graph_descr.<graphtype>, które są wyświetlane bez kodowania HTML w pliku includes/html/pages/graphs.inc.php. Administrator może zapisać złośliwy ładunek HTML, który wykona się w przeglądarce każdego uwierzytelnionego użytkownika przeglądającego dotknięty typ wykresu. Problem został naprawiony w wersji 26.7.0.

LibreNMS w wersjach od 21.6.0 do 26.5.0 ma podatność na wstrzyknięcie poleceń w transporcie alertów Signal, ponieważ ścieżka signal-cli i pole Recipient nie są wystarczająco escapowane przed przekazaniem do wywołania exec. Uwierzytelniony administrator może wykonać dowolne polecenia systemu operacyjnego na hoście LibreNMS.