CVE-2026-40079

Nome do Software Vulnerável e Versões Afetadas Cacti versões anteriores a 1.2.31

Description Ocorre Injeção de Comando devido à sanitização insuficiente na função escape command() localizada em lib/rrd.php, que atua como um no-op ao retornar o $command inalterado. A linha de comando construída por rrdtool function graph() é passada por esta função e posteriormente executada via shell exec($full commandline). O risco está presente em rrd execute(), onde valores de text format de modelos de gráfico, que podem conter substituições de variáveis de host, chegam ao shell exec sem o escape adequado.

Recommendations Atualizar para a versão 1.2.31.