CVE-2021-3816

Cacti versão 1.1.38

A vulnerabilidade permite que usuários autenticados com permissões de gerenciamento de usuários injetem HTML arbitrário no campo group prefix durante a criação de um novo grupo por meio do método “Copy” no endpoint “user group admin.php”. Isso pode ser explorado por usuários com permissões específicas, levando potencialmente a problemas de segurança.

Para a versão 1.1.38 do Cacti, considere restringir o acesso ao método “Copiar” no endpoint “user group admin.php” para impedir a injeção de HTML arbitrário no campo group prefix até que um patch esteja disponível. Como solução alternativa temporária, limite as permissões dos usuários com acesso à Gestão de Usuários para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.