CVE-2026-39902
Cacti: डेटा इनपुट पर प्रमाणित RCE
- प्रकाशित
- 23 अक्टू॰ 2026
- अद्यतन
- 23 अक्टू॰ 2026
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 26 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 34.2%
- मॉडल दिनांक
- 25 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Cacti एक ओपन सोर्स प्रदर्शन और फॉल्ट प्रबंधन फ्रेमवर्क है। संस्करण 1.2.31 से पहले, पूर्व ब्लॉकलिस्ट ([;&| `$\\n\r]) में सिंगल-कोट, डबल-कोट, रीडायरेक्ट ऑपरेटर, सबशेल पैरेन्स और ब्रेसेस शामिल नहीं थे। एक प्रमाणित एडमिन सिंगल-कोट, रीडायरेक्ट ऑपरेटर, या सबशेल पैरेन्स युक्त एक input_string` सहेज सकता था, और जाँच पास कर सकता था। यह समस्या संस्करण 1.2.31 में पैच कर दी गई है।
स्रोत
Cacti ≤1.2.30 में प्रमाणित OS कमांड इंजेक्शन (CWE-78) के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो CVSS 7.2 के साथ रिमोट कोड निष्पादन प्राप्त करता है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।