在 cacti 中發現三個安全性問題：

CVE-2016-2313

auth_login.php 允許使用 web 驗證且經驗證的遠端使用者以非 cacti 資料庫使用者的身分登入，進而繞過預定的存取限制。

CVE-2016-3172

tree.php 中有一個 SQL 插入弱點，其允許經驗證的遠端使用者透過 item_edit 動作中的 parent_id 參數執行任意 SQL 命令。

CVE-2016-3659

graph_view.php 中有一個 SQL 插入弱點，其允許經驗證的遠端使用者透過 host_group_data 參數執行任意 SQL 命令。

CVE-2016-2313 的修正未考量來賓使用者。此更新修正了這點。

針對 Debian 7「Wheezy」，這些問題已在 0.8.8a+dfsg-5+deb7u10 版本中修正。

我們建議您升級 cacti 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-560-2：cacti 迴歸更新

high Nessus Plugin ID 92547

找不到變更記錄