CVE-2023-39514

Cacti es un framework de monitorización operativa y gestión de fallos de código abierto. Las versiones afectadas están sujetas a una vulnerabilidad de Cross-Site Scripting (XSS) almacenado que permite a un usuario autenticado envenenar a los datos almacenados en la base de datos de cacti. Estos datos serán visualizados por las cuentas administrativas de cacti y ejecutarán código JavaScript en el navegador de la víctima en tiempo de visualización. El script bajo "graphs.php" muestra detalles del gráfico como rutas de origen de datos, información de la plantilla de datos y campos relacionados con el gráfico _CENSUS_ descubrió que un adversario que es capaz de configurar una plantilla de fuente de datos con código malicioso añadido en el nombre de la fuente de datos o un dispositivo con una carga maliciosa inyectada en el nombre del dispositivo, puede desplegar un ataque XSS almacenado contra cualquier usuario con privilegios de Administración General - Gráficos. Un usuario que posea los permisos de Editor de plantillas - Plantilla de datos puede configurar el nombre de la fuente de datos en cacti. Tenga en cuenta que puede tratarse de un usuario con privilegios bajos. Esta configuración se realiza a través de "http:///cacti/data_templates.php" editando una plantilla de datos existente o añadiendo una nueva. Si una plantilla está vinculada a un gráfico, el nombre formateado de la plantilla se mostrará en la página de gestión del gráfico. Un usuario que posea los permisos Administración General - Sitios/Dispositivos/Datos puede configurar el nombre del dispositivos en cacti. Esta vulnerabilidad se ha solucionado en la versión 1.2.25. Se recomienda a los usuarios que la actualicen. Los usuarios que no puedan actualizar deberán añadir manualmente el escape HTML.