Cacti是一个开源的操作监控与故障管理框架。受影响的版本存在存储型跨站脚本攻击漏洞，允许经过身份验证的用户操纵存储在_cacti_数据库中的数据。这些数据会被_administrative _cacti_账户查看，并在视图时在受害者的浏览器中执行JavaScript代码。在`data_sources.php`脚本中，显示了_cacti_应用程序中不同数据可视化的数据源管理信息（如数据源路径、轮询配置等）。CENSUS发现，能够配置恶意数据源路径的对手可以对具有相同（或更广泛）权限的任何用户进行存储型XSS攻击。拥有'General Administration>Sites/Devices/Data'权限的用户可以在Cacti中配置数据源路径。此配置通过`http://<HOST>/cacti/data_sources.php`进行。同一页面可用于预览数据源路径。该问题已在版本1.2.25中得到解决，建议用户升级。无法升级的用户应手动转义HTML输出。