根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 Cacti 應用程式版本比 0.8.8c 舊。因此可能受到以下弱點影響：

- 'install/index.php' 的 'step' 參數與 'cacti/host.php' 的 'id' 參數中存在多個 XSS 弱點。(CVE-2013-5588)

- 'cacti/host.php' 之 'id' 參數中的 SQL 插入弱點可允許遠端攻擊者插入任意 SQL 命令。(CVE-2013-5589)

- 存在一個透過 'cdef.php' 的不明向量造成的 XSS 弱點。(CVE-2014-2326)

- 存在一個 XSRF 弱點，允許遠端攻擊者劫持不明命令的使用者驗證。(CVE-2014-2327)

- 'lib/graph_export.php' 中存在一個瑕疵，允許經驗證的遠端使用者以不明向量透過 shell 詮釋字元執行任意命令。
 (CVE-2014-2328)

- 'graph_xport.php' 中存在多個 SQL 插入弱點，允許遠端攻擊者插入任意 SQL 命令。(CVE-2014-2708)

- 不當逸出不明參數中的 shell 詮釋字元，允許遠端攻擊者執行任意命令。(CVE-2014-2709)

- 存在多個 XSS 弱點，允許攻擊者使用 'drp_action'、'graph_template_input_id' 與 'graph_template_id' 參數將任意指令碼資料插入到多種 PHP 指令碼中。(CVE-2014-4002)

- 'data_sources.php' 中存在一個 XSS 弱點，允許具有主控台存取權的經驗證遠端使用者在 ds_edit 動作中透過 'name_cache' 參數插入任意指令碼資料。(CVE-2014-5025)

- 存在多個 XSS 弱點，允許攻擊者在刪除、編輯或複製動作之下執行時，透過 'Graph Tree Title'、'CDEF Name'、'Data Input Method Name'、'Host Templates Name'、'Data Source Title'、'Graph Title' 或 'Graph Template Name' 插入任意指令碼資料。(CVE-2014-5026)

Cacti Group, Inc. 報告：

重要安全性修正

- CVE-2013-5588 - 透過安裝程式或裝置編輯所產生的一個 XSS 問題

- CVE-2013-5589 - 裝置編輯中的一個 SQL 插入弱點

- CVE-2014-2326 - 透過 CDEF 編輯所產生的一個 XSS 問題

- CVE-2014-2327 - 一個跨網站要求偽造 (CSRF) 弱點

- CVE-2014-2328 - 圖形匯出中的一個遠端命令執行弱點

- CVE-2014-4002 - 多個檔案中的多個 XSS 問題

- CVE-2014-5025 - 透過資料來源編輯所產生的一個 XSS 問題

- CVE-2014-5026 - 多個檔案中的多個 XSS 問題

遠端主機受到 GLSA-201509-03 中所述的弱點影響 (Cacti：多個弱點)

在 cacti 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可能以處理程序的權限執行任意程式碼，或造成拒絕服務情況。
 因應措施：

目前尚無已知的因應措施。

cacti 已更新至 0.8.8c 版 [boo#920399]

此更新修正了四個弱點，並新增部分相容功能。

- 之前並未針對安全性修正提供修補：

- CVE-2014-2326 - 透過 CDEF 編輯所產生的一個 XSS 問題

- CVE-2014-2327 - 一個跨網站要求偽造 (CSRF) 弱點

- CVE-2014-2328 - 圖形匯出中的一個遠端命令執行弱點

- CVE-2014-4002 - 多個檔案中的多個 XSS 問題

- CVE-2014-5025 - 透過資料來源編輯所產生的一個 XSS 問題

- CVE-2014-5026 - 多個檔案中的多個 XSS 問題

- 上游現已提供安全性修正：

- CVE-2013-5588 - 透過安裝程式或裝置編輯所產生的一個 XSS 問題

- CVE-2013-5589 - 裝置編輯中的一個 SQL 插入弱點

新功能：

- 新增圖形樹狀結構檢視

- 更新圖形清單和圖形預覽

- 重構圖形樹狀結構檢視，移除與 GPL 不相容的程式碼

- 更新命令行資料庫升級公用程式

- 現可從任何位置縮放圖形

在監控系統的圖形 Web 介面 Cacti 中發現多個安全性問題 (跨網站指令碼、遺漏輸入清理和 SQL 插入)。

在監控系統的圖形 Web 介面 Cacti 中發現多個安全性問題 (跨網站指令碼、遺漏輸入清理和 SQL 插入)。

此外，之前安全性更新中對於 CVE-2014-4002 的修正也已根據上游修正進行提供，因為它造成外掛系統使用者的迴歸。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

據發現，有多種跨網站指令碼 (XSS) 瑕疵 (CVE-2013-5588、CVE-2014-5025、CVE-2014-5026) 和多種 SQL 插入瑕疵 (CVE-2013-5589、CVE-2015-4342、CVE-2015-4634、CVE-2015-8377、CVE-2015-8604) 會影響 0.8.8g 之前版本的 Cacti。

0.8.8d 版之前的 Cacti 有跨網站指令碼 (XSS) 弱點，允許遠端攻擊者透過不明向量，插入任意 Web 指令碼或 HTML。(CVE-2015-2665)

在 0.8.8d 版之前的 Cacti 中，lib/functions.php 的 get_hash_graph_template 函式有 SQL 插入弱點，允許遠端攻擊者透過 graph_templates.php 的 graph_template_id 參數，執行任意 SQL 命令。(CVE-2015-4454)

ID	名稱	產品	系列	已發布	已更新	嚴重性
81603	Cacti < 0.8.8c 多個弱點	Nessus	CGI abuses	2015/3/3	2024/6/5	high
84323	FreeBSD：cacti -- 多個弱點 (a0e74731-181b-11e5-a1cf-002590263bf5)	Nessus	FreeBSD Local Security Checks	2015/6/23	2021/1/6	high
86134	GLSA-201509-03：Cacti：多個弱點	Nessus	Gentoo Local Security Checks	2015/9/25	2021/1/11	high
81765	openSUSE 安全性更新：cacti (openSUSE-2015-221)	Nessus	SuSE Local Security Checks	2015/3/12	2021/1/19	high
77287	Debian DSA-3007-1：cacti - 安全性更新	Nessus	Debian Local Security Checks	2014/8/21	2021/1/11	high
82187	Debian DLA-40-1：cacti 安全性更新	Nessus	Debian Local Security Checks	2015/3/26	2021/1/11	high
90155	Amazon Linux AMI : cacti (ALAS-2016-673)	Nessus	Amazon Linux Local Security Checks	2016/3/25	2018/4/18	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high