CVE-2026-29514
WysokieStreszczenie
Wersje NetBox od 4.3.5 do 4.5.4 zawierają podatność na zdalne wykonanie kodu w metodzie RenderTemplateMixin.get_environment_params(). Umożliwia ona uwierzytelnionym użytkownikom z uprawnieniami exporttemplate lub configtemplate wykonanie dowolnego kodu poprzez określenie złośliwych wywołań Pythona w polu environment_params.
Ocena ryzyka
Atakujący mogą obejść zabezpieczenia Jinja2 SandboxedEnvironment, co prowadzi do zdalnego wykonania kodu jako użytkownik usługi NetBox. To stwarza poważne zagrożenie dla integralności i bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację NetBox do najnowszej wersji, aby usunąć tę podatność. Należy również ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi w celu wykrycia potencjalnych prób wykorzystania tej luki.
Inne podatności w NetBox
Zobacz wszystkie- CVE-2023-33796Krytyczne
Podatność w Netbox v3.5.1 pozwala nieautoryzowanym atakującym na wykonywanie zapytań do bazy danych GraphQL, co może prowadzić do uzyskania dostępu do wrażliwych danych przechowywanych w bazie.
- CVE-2026-104073Wysokie
NetBox w wersjach od 2.9.5 do 4.7.0 zawiera lukę server-side template injection, która pozwala użytkownikowi o niskich uprawnieniach z uprawnieniem "Can add custom links" na kradzież ciasteczek sesyjnych i tokenów API innych użytkowników poprzez udostępnienie surowego obiektu Django HttpRequest w kontekście szablonu Jinja2. Atakujący może osadzić w szablonie niestandardowego linku odwołanie do request.COOKIES['sessionid'] lub tokenu API w adresie URL obrazka, omijając sanitizer clean_html i automatycznie eksfiltrując dane uwierzytelniające ofiary. Umożliwia to pełne przejęcie konta.
- CVE-2026-86176Średnie
NetBox do wersji 4.7.0 nie ogranicza prawidłowo prywatnych rekordów użytkowników w endpointach API REST i GraphQL dla Notifications, Subscriptions i Bookmarks. Uwierzytelnieni użytkownicy z uprawnieniami do przeglądania mogą uzyskać dostęp do prywatnych rekordów wszystkich użytkowników poprzez nieskopowane querysety, ujawniając, którzy użytkownicy obserwują lub dodają do zakładek które obiekty.
- CVE-2026-86175Średnie
NetBox do wersji 4.7.0 nie usuwa danych uwierzytelniających backendów źródeł danych w odpowiedziach API REST i GraphQL. Uwierzytelnieni użytkownicy z uprawnieniami tylko do przeglądania mogą pobrać hasła i klucze sekretne w postaci jawnego tekstu dla backendów Git i Amazon S3, uzyskując nieautoryzowany dostęp do zewnętrznych repozytoriów i zasobników.
- CVE-2026-69117Średnie
NetBox 4.5.8 zawiera podatność wstrzykiwania ORM, która pozwala uwierzytelnionym atakującym, w tym posiadaczom tokenów API tylko do odczytu, na wstrzykiwanie dowolnych wyrażeń ORM Django do zagnieżdżonych odwołań do obiektów poprzez dostarczenie spreparowanych kluczy słownika JSON w żądaniach POST, PUT lub PATCH do dowolnego endpointu REST API. Atakujący mogą wykorzystać nieograniczony queryset używany przez WritableNestedSerializer do przeprowadzenia ślepej ekstrakcji danych wrażliwych pól i obejścia uprawnień na poziomie obiektów we wszystkich modułach aplikacji, w tym dcim, ipam, tenancy, virtualization, circuits i extras.
- CVE-2025-69848Średnie
NetBox, platforma do modelowania zasobów infrastruktury i zarządzania adresami IP, zawiera podatność na odbite cross-site scripting w wersjach od 2.11.0 do 3.7.x w logice obsługi ProtectedError, gdzie nazwy obiektów są umieszczane w komunikatach błędów HTML bez odpowiedniego kodowania. Pozwala to na renderowanie treści kontrolowanych przez użytkownika w interfejsie webowym, gdy operacja usuwania nie powiedzie się z powodu chronionych relacji, co może umożliwić wykonanie dowolnego kodu po stronie klienta w kontekście uprzywilejowanego użytkownika.
- CVE-2023-37625Średnie
W wersji 3.4.7 Netboxa występuje podatność na przechowywane ataki XSS, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do szablonów linków niestandardowych.
- CVE-2023-34565Średnie
Netbox w wersji 3.5.1 jest podatny na atak typu Cross Site Scripting (XSS) w funkcji 'Tworzenie grup WLAN'.
- CVE-2023-33800Średnie
W Netbox v3.5.1 występuje podatność na przechowywane ataki XSS w funkcji tworzenia regionów (/dcim/regions/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.
- CVE-2023-33799Średnie
W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia kontaktów (/tenancy/contacts/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.
Oryginalny opis (angielski, źródło NVD)
NetBox versions 4.3.5 through 4.5.4 contain a remote code execution vulnerability in the RenderTemplateMixin.get_environment_params() method that allows authenticated users with exporttemplate or configtemplate permissions to execute arbitrary code by specifying malicious Python callables in the environment_params field. Attackers can bypass Jinja2 SandboxedEnvironment protections by setting the finalize parameter to any importable Python callable such as subprocess.getoutput, which is invoked on every rendered expression outside the sandbox's call interception mechanism, achieving remote code execution as the NetBox service user.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS