CVE-2026-39948

Nome do Software Vulnerável e Versões Afetadas Cacti versões anteriores a 1.2.31

Description Um invasor não autenticado pode realizar a injeção de SQL em instalações onde a visualização de gráficos para convidados está habilitada. O problema ocorre porque o parâmetro de requisição rfilter é recuperado usando o acessador bruto grv() em vez de gfrv() com a validação FILTER VALIDATE IS REGEX. Este parâmetro é então concatenado diretamente em cláusulas SQL RLIKE dentro de lib/html graph.php e lib/html tree.php, que são acessíveis antes da autenticação através do endpoint graph view.php. Ao utilizar um payload de aspas desbalanceadas para ignorar a validação de regex, um invasor pode injetar SQL arbitrário para comprometer a confidencialidade, integridade e disponibilidade do banco de dados.

Recommendations Atualize para a versão 1.2.31. Como medida de mitigação temporária, desabilite a visualização de gráficos para convidados para evitar o acesso não autenticado ao endpoint afetado.