CVE-2026-39948: Cacti - Injeção de SQL sem autenticação via parâmetro rfilter
As versões do Cacti 1.2.30 e anteriores contêm uma falha de injeção de SQL (CWE-89) no parâmetro rfilter tratado por graph_view.php. Quando a visualização de gráficos para visitantes está habilitada, a falha pode ser alcançada sem autenticação. O problema foi corrigido na versão 1.2.31.
Visão geral
O Cacti é um framework de código aberto para gerenciamento de desempenho e de falhas. O CVE-2026-39948 é uma falha de injeção de SQL (CWE-89) no tratamento do parâmetro de requisição rfilter por meio de graph_view.php. Segundo o registro, o valor é lido com um acessor bruto e inserido em cláusulas RLIKE SQL em lib/html_graph.php e lib/html_tree.php, sem a validação por expressão regular que deveria ser aplicada.
Impacto
- O registro afirma que um atacante poderia comprometer a confidencialidade, a integridade e a disponibilidade do banco de dados subjacente.
- A NVD atribui pontuação 9.8 pelo CVSS 3.1. O GitHub atribui 9.3 pelo CVSS 4.0.
- O registro indica que a falha é alcançável sem autenticação em instalações com a visualização de gráficos para visitantes habilitada.
Produtos e versões afetados
- Cacti (produto listado como Cacti Cacti): versões anteriores à 1.2.31, segundo o registro.
- A descrição indica que as versões 1.2.30 e anteriores são afetadas.
- A descrição indica que o problema foi corrigido na versão 1.2.31.
Status de exploração
O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. Não há pontuação EPSS disponível no registro.
Correção e mitigação
- Atualize o Cacti para a versão 1.2.31 ou superior.
- Enquanto a atualização não for aplicada, desabilite a visualização de gráficos para visitantes, caso ela não seja necessária.
- Restrinja a exposição de rede da interface web do Cacti a usuários e redes confiáveis.
- Consulte o aviso de segurança no GitHub e o commit de correção.
Orientações de detecção
- Revise os logs do servidor web em busca de requisições a graph_view.php com valores de rfilter incomuns ou malformados.
- Monitore logs de aplicação e de banco de dados em busca de erros de sintaxe SQL originados de requisições de gráficos.
- Trate erros inesperados de banco de dados na interface web do Cacti como sinal para investigação adicional.
Limitações das informações disponíveis
- O registro não descreve todas as condições de exploração além da configuração de visualização de gráficos para visitantes.
- O registro não informa se as correções foram aplicadas a outras linhas de release.
- Não há telemetria de exploração, pontuação EPSS ou dados SSVC no registro.
- O estado padrão da visualização de gráficos para visitantes não é informado no registro.
Perguntas frequentes
Quais versões do Cacti são afetadas pelo CVE-2026-39948?
Segundo o registro, as versões do Cacti 1.2.30 e anteriores são afetadas, e o problema foi corrigido na versão 1.2.31.
A exploração exige autenticação?
O registro afirma que a falha é alcançável por graph_view.php sem autenticação em instalações com a visualização de gráficos para visitantes habilitada.
Há exploração ativa conhecida desta vulnerabilidade?
O registro mostra que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.