CVE-2026-39902
Cacti: تنفيذ أوامر عن بُعد (RCE) بعد المصادقة عبر Data Input
- تم النشر
- 23/10/2026
- محدث
- 23/10/2026
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 26/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 34.2%
- تاريخ الموديل
- 25/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
Cacti هو إطار عمل مفتوح المصدر لإدارة الأداء والأعطال. قبل الإصدار 1.2.31، كانت قائمة الحظر السابقة ([;&| `$\\n\r]) تفتقد علامة الاقتباس المفردة، وعلامة الاقتباس المزدوجة، ومعاملات إعادة التوجيه، وأقواس الأوامر الفرعية، والأقواس المعقوفة. كان بإمكان مسؤول مُصادَق عليه حفظ `input_string` يحتوي على علامة اقتباس مفردة، أو معامل إعادة توجيه، أو أقواس أوامر فرعية، واجتياز الفحص. تم إصلاح هذه المشكلة في الإصدار 1.2.31.
المصادر
إثبات مفهوم لاستغلال حقن أوامر نظام التشغيل المُصادَق (CWE-78) في Cacti ≤1.2.30، مما يحقق تنفيذًا عن بُعد للكود بدرجة خطورة CVSS 7.2.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.