🔍 CVE-2025-68614

4.3
CVSS Score
MEDIUM
2025-12-23
2026-10-19 22:10
✅ 완료

🇰🇷 한글 설명

LibreNMS에서 Alert Rule API에 저장된 크로스 사이트 스크립팅 취약점이 발견되었습니다. 이 취약점으로 인해 악의적인 사용자가 Alert 규칙 이름에 HTML 코드를 삽입하여 사용자에게 악의적인 스크립트를 실행할 수 있습니다.

💡 쉬운 설명

LibreNMS의 Alert Rule API에서 크로스 사이트 스크립팅이 가능합니다. 악의적인 사용자가 Alert 규칙 이름에 악의적인 코드를 삽입하여 사용자에게 악의적인 스크립트를 실행할 수 있습니다. 이는 사용자에게 피해를 줄 수 있습니다.

🇺🇸 원문 (English)

LibreNMS is an auto-discovering PHP/MySQL/SNMP based network monitoring tool. Prior to version 25.12.0, the Alert Rule API is vulnerable to stored cross-site scripting. Alert rules can be created or updated via LibreNMS API. The alert rule name is not properly sanitized, and can be used to inject HTML code. This issue has been patched in version 25.12.0.

📍 영향받는 시스템

LibreNMS 버전 25.12.0 이전

⚔️ 공격 벡터

Alert 규칙 이름에 HTML 코드를 삽입하여 크로스 사이트 스크립팅을 수행

🛡️ 대응 방법

LibreNMS를 버전 25.12.0 이상으로 업데이트하세요.

🔧 검증 코드

로컬 PC에서 Python을 설치하고, LibreNMS URL을 'https://your-librenms-url.com'으로 변경하여 코드를 실행하세요. 코드 실행 결과는 JSON 형식으로 출력됩니다.

Shell / Script 
python -c "import requests; response = requests.get('https://your-librenms-url.com/api/v1/alert-rules'); if response.status_code == 200: print('{{"result": "{}", "reason": "{}"}}'.format('취약' if 'Content-Type' in response.headers and response.headers['Content-Type'] == 'application/json' else '양호', 'Alert Rule API 응답이 JSON 형식입니다.' if 'Content-Type' in response.headers and response.headers['Content-Type'] == 'application/json' else 'Alert Rule API 응답이 JSON 형식이 아닙니다.'))"

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:L

💻 영향받는 소프트웨어

PHP