CVE-2025-66850

Descoberta

Dentro da aplicação ‘LibreNMS’, descobrimos uma vulnerabilidade de Cross-Site Scripting refletido; esta vulnerabilidade existe no parâmetro protocol do módulo de roteamento, permitindo a um atacante executar JavaScript malicioso no navegador de uma vítima. Esta vulnerabilidade afeta todas as versões de 22.9.0 (setembro de 2022) até 24.9.1 (setembro de 2024). Esta vulnerabilidade foi corrigida silenciosamente na versão 24.10.0 (novembro de 2024) sem subsequente CVE ou divulgação pública. Esta correção não documentada significa que muitas organizações podem não estar cientes da sua exposição e ainda não aplicaram as atualizações necessárias. Pode ver a configuração atual utilizada para testar esta vulnerabilidade na figura abaixo:

Resumo Técnico

Uma vulnerabilidade de Cross-Site Scripting refletido permite que atacantes remotos injetem código JavaScript arbitrário nos navegadores de utilizadores autenticados do LibreNMS através de URLs especialmente concebidos – potencialmente permitindo-lhes capturar cookies de sessão, criar uma backdoor de administrador ou redirecionar utilizadores para domínios controlados pelo atacante. A prova do XSS pode ser vista na imagem abaixo:

A falha de segurança resulta de uma validação de entrada insuficiente no parâmetro ‘protocol’ do endpoint ‘/routing’. A aplicação aplica uma sanitização básica através do atributo ‘basename()’, prevenindo directory traversal, mas não efetua a codificação de entidades HTML antes de refletir a entrada na página – permitindo que atacantes contornem os controlos de segurança básicos e injetem código malicioso.

Informações do Produto Afetado