CVE-2026-39893: Injeção de SQL no Cacti pelo parâmetro rfilter
As versões 1.2.30 e anteriores do Cacti repassam a variável de requisição rfilter para uma cláusula SQL RLIKE sem sanitização, caracterizando uma injeção de SQL (CWE-89). O registro indica que o problema é alcançável sem autenticação em instalações com visualização de gráficos para convidados habilitada, e é classificado como crítico com pontuação CVSS 3.1 de 9.8. A correção está disponível na versão 1.2.31.
Visão geral
O Cacti é um framework de código aberto para gerenciamento de desempenho e de falhas. Segundo o registro, as versões 1.2.30 e anteriores repassam a variável de requisição rfilter para uma cláusula SQL RLIKE sem sanitização, uma fragilidade de injeção de SQL classificada como CWE-89. A correção está na versão 1.2.31, e o pull request vinculado é a referência do patch.
Impacto
- O registro descreve a falha como alcançável sem autenticação quando a visualização de gráficos para convidados está habilitada pelo usuário convidado configurado.
- A pontuação base CVSS 3.1 é 9.8 (crítica), com vetor que indica acesso pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
- Os dados específicos que poderiam ser lidos ou alterados por meio dessa falha não são detalhados nas informações disponíveis.
Produtos e versões afetados
- Produto listado: Cacti Cacti.
- Intervalo afetado no registro: versões anteriores à 1.2.31, sendo a descrição explícita quanto à 1.2.30 e anteriores.
- Versão corrigida: 1.2.31.
Status de exploração
O registro indica que esta CVE não consta no catálogo Known Exploited Vulnerabilities da CISA. Não há exploração confirmada no mundo real nas fontes consultadas. Não há pontuação EPSS disponível no registro.
Correção e mitigação
- Atualize o Cacti para a versão 1.2.31 ou superior, usando o aviso de segurança upstream como referência principal.
- Revise o pull request da correção para entender o escopo da mudança.
- Caso a atualização imediata não seja possível, considere desabilitar o acesso de convidados à visualização de gráficos e revisar a configuração do usuário convidado, já que o registro associa o alcance pré-autenticação a essa configuração.
- Restrinja o acesso à interface web do Cacti a redes confiáveis sempre que possível.
Orientações de detecção
- Analise os logs do servidor web e da aplicação em busca de requisições incomuns ao Cacti que contenham caracteres inesperados ou mensagens de erro do banco de dados, especialmente de sessões não autenticadas.
- Verifique se a visualização para convidados está habilitada e se a conta de convidado está em uso ativo.
- Monitore os logs do banco de dados em busca de erros de sintaxe SQL originados da aplicação Cacti.
Limitações das informações disponíveis
- O registro não identifica o endpoint exato afetado, o backend de banco de dados utilizado nem os dados expostos.
- Não há menção a código de prova de conceito ou telemetria de exploração nas fontes consultadas.
- Detalhes adicionais devem ser verificados no aviso upstream.
Perguntas frequentes
Esta falha do Cacti exige autenticação para ser alcançada?
Segundo o registro, o endpoint não exige autenticação, mas o problema só é alcançável sem autenticação em instalações com a visualização de gráficos para convidados habilitada pelo usuário convidado configurado.
Qual versão corrige a CVE-2026-39893?
O registro informa que o problema foi corrigido na versão 1.2.31 do Cacti e lista as versões anteriores à 1.2.31 como afetadas.
Há registro de exploração conhecida no mundo real?
O registro indica que a CVE não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.