K1Bana

**Nome do Software Vulnerável e Versões Afetadas** LibreNMS versões anteriores a 26.7.0 **Description** Um problema de cross-site scripting armazenado existe onde as configurações `graph descr.<graphtype>` são exibidas sem a devida filtragem de HTML no arquivo includes/html/pages/graphs.inc.php. Isso permite que um administrador armazene um payload HTML malicioso que é executado no navegador de qualquer usuário autenticado que visualize o tipo de gráfico afetado. **Recommendations** Atualizar para a versão 26.7.0.

**Nome do Software Vulnerável e Versões Afetadas** LibreNMS versões anteriores a 26.5.0 **Description** A visualização do aplicativo Proxmox contém um problema de cross-site scripting refletido. O aplicativo não codifica adequadamente os parâmetros GET `instance` e `vmid` antes de refleti-los no título da página. Especificamente, o arquivo `LegacyController.php` grava o título da página em uma atribuição de JavaScript `document.title` usando interpolação de string. Como apenas a função `strip tags()` é aplicada a esses parâmetros, um invasor pode usar uma aspa simples para encerrar a string de JavaScript e executar scripts arbitrários na sessão de um usuário autenticado que siga um link manipulado. Isso pode levar ao roubo de dados de sessão. **Recommendations** Atualize para a versão 26.5.0. Como mitigação temporária, restrinja o acesso à visualização do aplicativo Proxmox ou evite usar os parâmetros `instance` e `vmid` nas requisições GET afetadas.

**Nome do Software Vulnerável e Versões Afetadas** LibreNMS versões anteriores a 26.7.0 **Description** O software falha ao aplicar `htmlspecialchars()` ao renderizar campos JSON retornados pela URL de integração Oxidized configurável pelo administrador (`oxidized.url`) na página showconfig do dispositivo. Se um administrador apontar esta URL para um servidor controlado por um invasor, isso pode levar ao Server-Side Request Forgery (SSRF) e ao retorno de um JSON malicioso. Isso resulta em cross-site scripting (XSS) persistente, afetando todos os usuários que visualizam a aba showconfig de qualquer dispositivo. **Recommendations** Atualize para a versão 26.7.0 ou posterior.