CVE-2025-66399 (CNNVD-202512-167)
中文标题:
Cacti 安全漏洞
英文标题:
SNMP Command Injection leads to RCE in Cacti
漏洞描述
中文描述:
Cacti是Cacti团队的一套开源的网络流量监测和分析工具。该工具通过snmpget来获取数据，使用RRDtool绘画图形进行分析，并提供数据和用户管理功能。 Cacti 1.2.29之前版本存在安全漏洞，该漏洞源于SNMP设备配置中社区字符串输入验证不足，可能导致命令执行。
英文描述:
Cacti is an open source performance and fault management framework. Prior to 1.2.29, there is an input-validation flaw in the SNMP device configuration functionality. An authenticated Cacti user can supply crafted SNMP community strings containing control characters (including newlines) that are accepted, stored verbatim in the database, and later embedded into backend SNMP operations. In environments where downstream SNMP tooling or wrappers interpret newline-separated tokens as command boundaries, this can lead to unintended command execution with the privileges of the Cacti process. This vulnerability is fixed in 1.2.29.
CWE类型:
标签:
受影响产品
| 厂商 | 产品 | 版本 | 版本范围 | 平台 | CPE |
|---|---|---|---|---|---|
| Cacti | cacti | < 1.2.29 | - | - |
cpe:2.3:a:cacti:cacti:<_1.2.29:*:*:*:*:*:*:*
|
| cacti | cacti | * | - | - |
cpe:2.3:a:cacti:cacti:*:*:*:*:*:*:*:*
|
解决方案
中文解决方案:
英文解决方案:
临时解决方案:
参考链接
cve.org
CVSS评分详情
4.0 (cna)
HIGHCVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:P
时间信息
利用信息
数据源详情
| 数据源 | 记录ID | 版本 | 提取时间 |
|---|---|---|---|
| CVE | cve_CVE-2025-66399 |
2025-12-09 02:14:38 | 2026-01-12 02:12:24 |
| NVD | nvd_CVE-2025-66399 |
2025-12-06 03:00:02 | 2026-01-12 02:28:04 |
| CNNVD | cnnvd_CNNVD-202512-167 |
2026-02-05 03:10:29 | 2026-02-04 22:00:28 |
版本与语言
安全公告
变更历史
查看详细变更
- vulnerability_type: 未提取 -> 其他
- cnnvd_id: 未提取 -> CNNVD-202512-167
- data_sources: ['cve', 'nvd'] -> ['cnnvd', 'cve', 'nvd']
查看详细变更
- affected_products_count: 1 -> 2
- data_sources: ['cve'] -> ['cve', 'nvd']