Vulnerabilidad en Cacti (CVE-2023-49088)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

22/12/2023

Última modificación:

10/06/2024

Descripción

Cacti es un framework de gestión de fallos y monitoreo operativo de código abierto. La solución aplicada para CVE-2023-39515 en la versión 1.2.25 está incompleta, ya que permite que un adversario haga que el navegador de la víctima ejecute código malicioso cuando un usuario víctima pasa el mouse sobre la ruta de la fuente de datos maliciosa en `data_debug.php`. Para realizar el ataque de cross-site scripting, el adversario debe ser un usuario de Cacti autorizado con los siguientes permisos: `General Administration&gt;Sites/Devices/Data`. La víctima de este ataque podría ser cualquier cuenta con permisos para ver `http:///cacti/data_debug.php`. Al momento de la publicación, no se ha incluido ninguna solución completa en Cacti.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.80 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno