Cacti 是一个开源的运维监控和故障管理框架。受影响的版本存在存储型跨站脚本攻击（XSS）漏洞，允许经过身份验证的用户在 _cacti_ 的数据库中操纵存储的数据。这些数据将由管理员 _cacti_ 帐户查看，并在视图时间内在受害者浏览器中执行 JavaScript 代码。`data_sources.php` 下的脚本显示了与数据可视化相关的数据源管理信息（例如数据源路径、轮询配置、与数据源相关的设备名称等）。_CENSUS_ 发现，能够配置恶意设备名称的攻击者，可以对具有相同（或更广泛）权限的任何用户进行存储型 XSS 攻击。拥有 _General Administration>Sites/Devices/Data_ 权限的用户可以在 _cacti_ 中配置设备名称。这个配置发生在 `http://<HOST>/cacti/host.php`，而渲染的恶意有效载荷则在 `http://<HOST>/cacti/data_sources.php` 上展示。该漏洞已在版本 1.2.25 中得到修复。建议用户升级。无法更新的用户应手动过滤 HTML 输出。