CVE-2026-116845

Wersje NetBox od 4.3.5 do 4.5.4 zawierają podatność na zdalne wykonanie kodu w metodzie RenderTemplateMixin.get_environment_params(). Umożliwia ona uwierzytelnionym użytkownikom z uprawnieniami exporttemplate lub configtemplate wykonanie dowolnego kodu poprzez określenie złośliwych wywołań Pythona w polu environment_params.

Podatność w Netbox v3.5.1 pozwala nieautoryzowanym atakującym na wykonywanie zapytań do bazy danych GraphQL, co może prowadzić do uzyskania dostępu do wrażliwych danych przechowywanych w bazie.

NetBox w wersjach od 2.9.5 do 4.7.0 zawiera lukę server-side template injection, która pozwala użytkownikowi o niskich uprawnieniach z uprawnieniem "Can add custom links" na kradzież ciasteczek sesyjnych i tokenów API innych użytkowników poprzez udostępnienie surowego obiektu Django HttpRequest w kontekście szablonu Jinja2. Atakujący może osadzić w szablonie niestandardowego linku odwołanie do request.COOKIES['sessionid'] lub tokenu API w adresie URL obrazka, omijając sanitizer clean_html i automatycznie eksfiltrując dane uwierzytelniające ofiary. Umożliwia to pełne przejęcie konta.

NetBox do wersji 4.7.0 nie ogranicza prawidłowo prywatnych rekordów użytkowników w endpointach API REST i GraphQL dla Notifications, Subscriptions i Bookmarks. Uwierzytelnieni użytkownicy z uprawnieniami do przeglądania mogą uzyskać dostęp do prywatnych rekordów wszystkich użytkowników poprzez nieskopowane querysety, ujawniając, którzy użytkownicy obserwują lub dodają do zakładek które obiekty.

NetBox do wersji 4.7.0 nie usuwa danych uwierzytelniających backendów źródeł danych w odpowiedziach API REST i GraphQL. Uwierzytelnieni użytkownicy z uprawnieniami tylko do przeglądania mogą pobrać hasła i klucze sekretne w postaci jawnego tekstu dla backendów Git i Amazon S3, uzyskując nieautoryzowany dostęp do zewnętrznych repozytoriów i zasobników.

NetBox 4.5.8 zawiera podatność wstrzykiwania ORM, która pozwala uwierzytelnionym atakującym, w tym posiadaczom tokenów API tylko do odczytu, na wstrzykiwanie dowolnych wyrażeń ORM Django do zagnieżdżonych odwołań do obiektów poprzez dostarczenie spreparowanych kluczy słownika JSON w żądaniach POST, PUT lub PATCH do dowolnego endpointu REST API. Atakujący mogą wykorzystać nieograniczony queryset używany przez WritableNestedSerializer do przeprowadzenia ślepej ekstrakcji danych wrażliwych pól i obejścia uprawnień na poziomie obiektów we wszystkich modułach aplikacji, w tym dcim, ipam, tenancy, virtualization, circuits i extras.

NetBox, platforma do modelowania zasobów infrastruktury i zarządzania adresami IP, zawiera podatność na odbite cross-site scripting w wersjach od 2.11.0 do 3.7.x w logice obsługi ProtectedError, gdzie nazwy obiektów są umieszczane w komunikatach błędów HTML bez odpowiedniego kodowania. Pozwala to na renderowanie treści kontrolowanych przez użytkownika w interfejsie webowym, gdy operacja usuwania nie powiedzie się z powodu chronionych relacji, co może umożliwić wykonanie dowolnego kodu po stronie klienta w kontekście uprzywilejowanego użytkownika.

W wersji 3.4.7 Netboxa występuje podatność na przechowywane ataki XSS, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do szablonów linków niestandardowych.

Netbox w wersji 3.5.1 jest podatny na atak typu Cross Site Scripting (XSS) w funkcji 'Tworzenie grup WLAN'.

W Netbox v3.5.1 występuje podatność na przechowywane ataki XSS w funkcji tworzenia regionów (/dcim/regions/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.