CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 0CVE-2017-12066
https://notcve.org/view.php?id=CVE-2017-12066
Cross-site scripting (XSS) vulnerability in aggregate_graphs.php in Cacti before 1.1.16 allows remote authenticated users to inject arbitrary web script or HTML via specially crafted HTTP Referer headers, related to the $cancel_url variable. NOTE: this vulnerability exists because of an incomplete fix (lack of the htmlspecialchars ENT_QUOTES flag) for CVE-2017-11163. Una vulnerabilidad de tipo Cross-Site Scripting (XSS) en aggregate_graphs.php en Cacti en versiones anteriores a la 1.1.16 permite que los usuarios remotos autenticados inyecten scripts web arbitrarios o HTML mediante cabeceras de referenciadores HTTP especialmente creadas en relación con la variable $cancel_url. NOTA: esta vulnerabilidad existe porque hay una parche incompleto (falta el flag htmlspecialchars ENT_QUOTES) para CVE-2017-11163. • https://cacti.net/release_notes.php?version=1.1.16 https://github.com/Cacti/cacti/commit/bd0e586f6f46d814930226f1516a194e7e72293e https://github.com/Cacti/cacti/issues/877 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 1CVE-2017-11691
https://notcve.org/view.php?id=CVE-2017-11691
Cross-site scripting (XSS) vulnerability in auth_profile.php in Cacti 1.1.13 allows remote attackers to inject arbitrary web script or HTML via specially crafted HTTP Referer headers. La vulnerabilidad de tipo cross-site-scripting (XSS) en el archivo auth_profile.php en Cacti versión 1.1.13, permite a los atacantes remotos inyectar scripts web o HTML arbitrarios por medio de encabezados Referer HTTP especialmente creados. • http://www.securityfocus.com/bid/100022 http://www.securitytracker.com/id/1038982 https://github.com/Cacti/cacti/commit/104090aeead4aa433bf1f18cd6d52dcfeb71236c https://github.com/Cacti/cacti/issues/867 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 1CVE-2017-1000031
https://notcve.org/view.php?id=CVE-2017-1000031
SQL injection vulnerability in graph_templates_inputs.php in Cacti 0.8.8b allows remote attackers to execute arbitrary SQL commands via the graph_template_input_id and graph_template_id parameters. Una vulnerabilidad de inyección SQL en el archivo graph_templates_inputs.php en Cacti versión 0.8.8b, permite a atacantes remotos ejecutar comandos SQL arbitrarios por medio de los parámetros graph_template_input_id y graph_template_id. • https://www.trustwave.com/Resources/Security-Advisories/Advisories/TWSL2016-007/?fid=7789 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2017-1000032
https://notcve.org/view.php?id=CVE-2017-1000032
Cross-Site scripting (XSS) vulnerabilities in Cacti 0.8.8b allow remote attackers to inject arbitrary web script or HTML via the parent_id parameter to tree.php and drp_action parameter to data_sources.php. Una vulnerabilidad de tipo Cross-Site scripting (XSS) en cactus versión 0.8.8b, permite a los atacantes remotos inyectar script web o HTML arbitrario por medio del parámetro parent_id en archivo tree.php y parámetro drp_action en archivo data_sources.php. • https://www.trustwave.com/Resources/Security-Advisories/Advisories/TWSL2016-007 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.4EPSS: 0%CPEs: 1EXPL: 1CVE-2017-11163
https://notcve.org/view.php?id=CVE-2017-11163
Cross-site scripting (XSS) vulnerability in aggregate_graphs.php in Cacti 1.1.12 allows remote authenticated users to inject arbitrary web script or HTML via specially crafted HTTP Referer headers, related to the $cancel_url variable. Una vulnerabilidad de Cross-Site Scripting (XSS) en aggregate_graphs.php en Cacti versión 1.1.12, permite a los usuarios autenticados a distancia inyectar secuencias de comandos web arbitrarias o HTML mediante cabeceras de referencia HTTP especialmente diseñadas, relacionadas con la variable $cancel_url. • http://www.securitytracker.com/id/1038908 https://github.com/Cacti/cacti/issues/847 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •