[01] Resumo da Vulnerabilidade

Campo	Valor
Produto	Cacti — A Solução Completa de Gráficos Baseada em RRDtool
Versão(ões) Afetada(s)	≤ 1.2.30
Classe de Vulnerabilidade	CWE-22: Travessia de Caminho (LFI) → CWE-78: Injeção de Comandos do SO
Vetor de Ataque	Rede
Autenticação	Nenhuma exigida (bypass da conta de convidado)
Interação do Usuário	Nenhuma
Pontuação CVSSv3.1	9.8 — CRÍTICO
Vetor	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

O Cacti ≤ 1.2.30 está vulnerável a Inclusão de Arquivo Local (LFI) não autenticada por meio do parâmetro graph_theme em graph_image.php, encadeada a Execução Remota de Código (RCE) por meio de injeção de comandos do SO via cacti_escapeshellarg() no Windows.

[02] Fluxo da Vulnerabilidade

HTTP Request
    │
    ▼
graph_image.php
    │
    ├── $guest_account = true  →  Auth bypass (no login needed)
    │
    ├── graph_theme param  →  LFI (CWE-22)
    │       └── Path traversal via basename() bypass
    │
    └── Other params (graph_height, etc.)
            └── cacti_escapeshellarg()  →  OS injection (CWE-78)
                    └── proc_open()  →  RCE

[03] Causa Raiz: LFI via `graph_theme`

O parâmetro graph_theme é sanitizado de forma insuficiente. A correção tentou usar basename(), mas isso é trivialmente contornável — um caminho como themes/../../etc/passwd passa pela validação do basename() enquanto ainda percorre diretórios.

Caminho de código vulnerável em graph_image.php:

$theme = basename($_GET['graph_theme']); // basename() is NOT sufficient
include_once("./include/theme_" . $theme . ".php"); // LFI

A correção na versão 1.2.31 substitui basename() por cacti_validate_theme(), que usa uma lista de permissões do sistema de arquivos.

[04] Pré-requisitos

[05] Prova de Conceito

LFI — Ler arquivos arbitrários

GET /cacti/graph_image.php?local_graph_id=1&graph_theme=../../../../etc/passwd

Cadeia LFI → RCE

GET /cacti/graph_image.php?local_graph_id=1&graph_height=100" & whoami & "&action=view

A injeção de comandos do SO já fornece Execução Remota de Código (RCE) direta, portanto, o LFI não é necessário para comprometer o sistema.

No entanto, do ponto de vista de um pesquisador, se ambos os problemas forem considerados em conjunto:

O LFI pode ser usado para ler o config.php e obter credenciais do banco de dados ou dados de configuração sensíveis.
A injeção de comandos do SO pode ser usada para executar comandos do sistema e obter controle do servidor.
O LFI também pode ajudar a confirmar alterações no sistema (por exemplo, verificar se um arquivo ou payload foi criado com sucesso).

Isso mostra que combinar múltiplas vulnerabilidades aumenta o impacto geral e torna a exploração mais fácil e confiável.

[06] Avaliação de Impacto

Pilar	Nível	Descrição

[07] Pontuação CVSS v3.1

Pontuação: 9.8 — CRÍTICO

[08] Remediação

Prioridade	Ação
Imediata	Atualizar para o Cacti 1.2.31 ou posterior

👤 Autor

MENG HOKSENG
Pesquisador de Segurança Independente

Referências:

Cacti roda no Windows	Comum em empresas	A falha no escape do `cmd.exe` permite RCE
Conta de convidado habilitada	Comum — frequentemente padrão	O usuário convidado permite visualização pública de gráficos
Pelo menos um gráfico existe	Quase universal	`local_graph_id=1` presente após a instalação
RRDtool instalado	Exigido pelo Cacti	Sempre presente

Vetor de Ataque	Rede
Complexidade do Ataque	Baixa
Privilégios Necessários	Nenhum
Interação do Usuário	Nenhuma
Escopo	Inalterado
Confidencialidade	Alta
Integridade	Alta
Disponibilidade	Alta

CVE-2026-39938

Mais Populares

Relatório de Vulnerabilidade: RCE Não Autenticado no Cacti em Imagem de Gráfico