CVE-2025-69848
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
NetBox, platforma do modelowania zasobów infrastruktury i zarządzania adresami IP, zawiera podatność na odbite cross-site scripting w wersjach od 2.11.0 do 3.7.x w logice obsługi ProtectedError, gdzie nazwy obiektów są umieszczane w komunikatach błędów HTML bez odpowiedniego kodowania. Pozwala to na renderowanie treści kontrolowanych przez użytkownika w interfejsie webowym, gdy operacja usuwania nie powiedzie się z powodu chronionych relacji, co może umożliwić wykonanie dowolnego kodu po stronie klienta w kontekście uprzywilejowanego użytkownika.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarce uprzywilejowanego użytkownika, co może prowadzić do przejęcia sesji, kradzieży danych lub nieautoryzowanych działań.
Rekomendacja
Zaleca się aktualizację NetBox do wersji nowszej niż 3.7.x oraz wdrożenie odpowiedniego kodowania danych wyjściowych w komunikatach błędów.
Inne podatności w NetBox
Zobacz wszystkie- CVE-2026-29514Wysokie
Wersje NetBox od 4.3.5 do 4.5.4 zawierają podatność na zdalne wykonanie kodu w metodzie RenderTemplateMixin.get_environment_params(). Umożliwia ona uwierzytelnionym użytkownikom z uprawnieniami exporttemplate lub configtemplate wykonanie dowolnego kodu poprzez określenie złośliwych wywołań Pythona w polu environment_params.
- CVE-2023-33796Krytyczne
Podatność w Netbox v3.5.1 pozwala nieautoryzowanym atakującym na wykonywanie zapytań do bazy danych GraphQL, co może prowadzić do uzyskania dostępu do wrażliwych danych przechowywanych w bazie.
- CVE-2026-69117Średnie
NetBox 4.5.8 zawiera podatność wstrzykiwania ORM, która pozwala uwierzytelnionym atakującym, w tym posiadaczom tokenów API tylko do odczytu, na wstrzykiwanie dowolnych wyrażeń ORM Django do zagnieżdżonych odwołań do obiektów poprzez dostarczenie spreparowanych kluczy słownika JSON w żądaniach POST, PUT lub PATCH do dowolnego endpointu REST API. Atakujący mogą wykorzystać nieograniczony queryset używany przez WritableNestedSerializer do przeprowadzenia ślepej ekstrakcji danych wrażliwych pól i obejścia uprawnień na poziomie obiektów we wszystkich modułach aplikacji, w tym dcim, ipam, tenancy, virtualization, circuits i extras.
- CVE-2023-37625Średnie
W wersji 3.4.7 Netboxa występuje podatność na przechowywane ataki XSS, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do szablonów linków niestandardowych.
- CVE-2023-34565Średnie
Netbox w wersji 3.5.1 jest podatny na atak typu Cross Site Scripting (XSS) w funkcji 'Tworzenie grup WLAN'.
- CVE-2023-33800Średnie
W Netbox v3.5.1 występuje podatność na przechowywane ataki XSS w funkcji tworzenia regionów (/dcim/regions/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.
- CVE-2023-33799Średnie
W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia kontaktów (/tenancy/contacts/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.
- CVE-2023-33798Średnie
W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia szafki (/dcim/rack/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.
- CVE-2023-33797Średnie
W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia witryn (/dcim/sites/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.
- CVE-2023-33795Średnie
W Netbox v3.5.1 występuje podatność typu XSS w funkcji tworzenia ról kontaktów, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie złośliwego ładunku do pola Nazwa.
Oryginalny opis (angielski, źródło NVD)
NetBox is an open-source infrastructure resource modeling and IP address management platform. A reflected cross-site scripting (XSS) vulnerability exists in versions 2.11.0 through 3.7.x in the ProtectedError handling logic, where object names are included in HTML error messages without proper escaping. This allows user-controlled content to be rendered in the web interface when a delete operation fails due to protected relationships, potentially enabling execution of arbitrary client-side code in the context of a privileged user.