LibreNMS has Stored Cross-site Scripting vulnerability in "Device Group" Name
Summary
The application fail to sanitising inputs properly and rendering the code from user input to browser which allow an attacker to execute malicious javascript code.
Details
User with Admin role can create a Device Groups, the application did not properly sanitize the user input in the Device Groups name, when user see the detail of the Device Group, if java script code is inside the name of the Device Groups, its will be trigger.
PoC
-
Login as an Admin role user. Then go over to "$URL/device-groups"
-
Create a new Device Group with this payload in their name
<img src="x" onerror="alert(document.cookie)">- Go over to the detail page of that Device Groups, in this case "$URL/devices/group=2". Will see a pop-up.
Impact
Attacker can use this to perform malicious java script code for malicious intent. This would impact all users as anyone can have access to the detail page of the device group.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka Composer | librenms/librenms | < 24.9.0 | 24.9.0 |
Odnośniki
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H- Słabość (CWE)
CWE-79- Platforma
- Composer
- Paczka
librenms/librenms- Ujawniono
- 01.10.2024
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-fc38-2254-48g7 - CC BY 4.0
Historia podatności: librenms/librenms
Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 106
- Pierwsza → ostatnia
- 10.2019 08.2026
- Bez poprawki
- 6
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 5
- Wysoka 39
- Średnia 56
- Niska 6
Ujawnienia w latach
- 2019: 6
- 2020: 0
- 2021: 7
- 2022: 26
- 2023: 12
- 2024: 24
- 2025: 15
- 2026: 16
-
LibreNMS has Stored Cross-site Scripting vulnerability in "Device Group" Name ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.