Cacti<1.2.25 reports_user.php SQL注入漏洞
漏洞描述 Cacti 是一个开源的操作监控和故障管理框架。 Cacti 1.2.25之前版本中由于 reports_user.php 中的 ajax_get_branches 函数未对用户可控的 tree_id 进行过滤,具有 Cacti 登录权限的攻击者可向 /cacti/reports_user.php Api节点发送包含恶意 tree_id 参数的http请求获取数据库中任意数据。如果 Cacti 开启访客模式,攻击者无需身份认证即可利用此漏洞。 漏洞名称 Cacti<1.2.25 reports_user.php SQL注入漏洞 漏洞类型 SQL注入 发现时间 2023-09-06 漏洞影响广度 小 MPS编号 MPS-9wzi-k37j CVE编号 CVE-2023-39358 CNVD编号 - 影响范围 Cacti@[1.0.0, 1.2.25) cacti@影响所有版本 修复方案 升级Cacti到 1.2.25 或更高版本,参考链接:https://forums.cacti.net/viewtopic.php?p=292797 参考链接 https://www.os...
