Cacti 1.2.8 allows Remote Code Execution (by privileged users) via shell metacharacters in the Performance Boost Debug Log field of poller_automation.php. OS commands are executed when a new poller cycle begins. The attacker must be authenticated, and must have access to modify the Performance Settings of the product.
Cacti versión 1.2.8, permite una ejecución de código remota (por parte de usuarios privilegiados) por medio de metacaracteres de shell en el campo Performance Boost Debug Log del archivo poller_automation.php. Los comandos del Sistema Operativo son ejecutados cuando un nuevo ciclo de sondeo comienza. El atacante necesita estar autenticado y tener acceso para modificar la Configuración de Desempeño del producto.