返回技術公告
資安通知嚴重程度重大CVSS9.1

LibreNMS 位址搜尋 SQL 注入漏洞，請更新至 26.2.0 以上

LibreNMS

LibreNMS 於 2026 年 2 月 17 日公開 7 項安全公告。兩項 SQL 注入位於位址搜尋功能：address 參數中「/」後面的前綴長度未經檢查就直接串接至 SQL 查詢，IPv6 搜尋（CVE-2026-26988）與 IPv4 搜尋（CVE-2026-26990，時間型盲式 SQL 注入，需登入）都受影響，可讀取或竄改資料庫內容。其餘 5 項為中度的跨站腳本（XSS）。7 項皆應更新至 26.2.0 以上。

影響版本

  • LibreNMS 26.2.0 之前的版本（含26.1.0、26.1.1）
  • CVE-2026-27016（自訂 OID 單位欄位 XSS）：24.10.0 起至 26.2.0 之前

已修正版本

  • LibreNMS 26.2.0（2026-02-16 發布）及之後版本：涵蓋兩項 SQL 注入與五項 XSS
  • 截至 2026-11-04，最新版為26.10.22026-10-21 發布

建議處理方式

  1. 將 LibreNMS 更新至最新版本；一般安裝可依官方文件以 librenms 帳號在安裝目錄執行 ./daily.sh，Docker 部署請改用新版 librenms/librenms 映像檔
  2. 之後各月份仍有多項高風險修正（包括 26.8.0 的 API 驗證繞過、26.9.0 的 LDAP 驗證繞過），建議直接更新至最新版

暫時無法更新時

  • 更新完成前，限制網頁介面僅供受信任的管理網段存取，並停用不再使用的帳號；此措施不能取代更新，具存取權限的已登入使用者仍可能利用漏洞

如何確認是否受影響

  • 於 LibreNMS 網頁介面「About」頁面查看版本，或在安裝目錄執行 ./validate.php，確認已達 26.2.0 以上；26.1.0、26.1.1 仍受 SQL 注入影響

參考來源

GHSA-h3rv-q4rq-pqcv：CVE-2026-26988 IPv6 位址搜尋 SQL 注入github.comGHSA-79q9-wc6p-cf92：CVE-2026-26990 位址搜尋時間型盲式 SQL 注入github.comGHSA-gqx7-99jw-6fpr：電子郵件欄位 XSSgithub.comGHSA-6xmx-xr9p-58p7：告警規則 XSSgithub.comGHSA-5pqf-54qp-32wx：裝置群組 XSSgithub.comGHSA-93fx-g747-695x：連接埠群組 XSSgithub.comGHSA-fqx6-693c-f55g：CVE-2026-27016 自訂 OID XSSgithub.comNVD：CVE-2026-26988nvd.nist.govLibreNMS 26.2.0 Release Notesgithub.comLibreNMS 文件：Updatingdocs.librenms.orgLibreNMS Docker：Upgradegithub.comCISA Known Exploited Vulnerabilities Catalog（官方資料集）www.cisa.gov

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告