CVE-2026-29514
WysokieStreszczenie
Wersje NetBox od 4.3.5 do 4.5.4 zawierają podatność na zdalne wykonanie kodu w metodzie RenderTemplateMixin.get_environment_params(). Umożliwia ona uwierzytelnionym użytkownikom z uprawnieniami exporttemplate lub configtemplate wykonanie dowolnego kodu poprzez określenie złośliwych wywołań Pythona w polu environment_params.
Ocena ryzyka
Atakujący mogą obejść zabezpieczenia Jinja2 SandboxedEnvironment, co prowadzi do zdalnego wykonania kodu jako użytkownik usługi NetBox. To stwarza poważne zagrożenie dla integralności i bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację NetBox do najnowszej wersji, aby usunąć tę podatność. Należy również ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi w celu wykrycia potencjalnych prób wykorzystania tej luki.
Inne podatności w NetBox
Zobacz wszystkie- CVE-2023-33796Krytyczne
Podatność w Netbox v3.5.1 pozwala nieautoryzowanym atakującym na wykonywanie zapytań do bazy danych GraphQL, co może prowadzić do uzyskania dostępu do wrażliwych danych przechowywanych w bazie.
- CVE-2026-69117Średnie
NetBox 4.5.8 zawiera podatność wstrzykiwania ORM, która pozwala uwierzytelnionym atakującym, w tym posiadaczom tokenów API tylko do odczytu, na wstrzykiwanie dowolnych wyrażeń ORM Django do zagnieżdżonych odwołań do obiektów poprzez dostarczenie spreparowanych kluczy słownika JSON w żądaniach POST, PUT lub PATCH do dowolnego endpointu REST API. Atakujący mogą wykorzystać nieograniczony queryset używany przez WritableNestedSerializer do przeprowadzenia ślepej ekstrakcji danych wrażliwych pól i obejścia uprawnień na poziomie obiektów we wszystkich modułach aplikacji, w tym dcim, ipam, tenancy, virtualization, circuits i extras.
- CVE-2025-69848Średnie
NetBox, platforma do modelowania zasobów infrastruktury i zarządzania adresami IP, zawiera podatność na odbite cross-site scripting w wersjach od 2.11.0 do 3.7.x w logice obsługi ProtectedError, gdzie nazwy obiektów są umieszczane w komunikatach błędów HTML bez odpowiedniego kodowania. Pozwala to na renderowanie treści kontrolowanych przez użytkownika w interfejsie webowym, gdy operacja usuwania nie powiedzie się z powodu chronionych relacji, co może umożliwić wykonanie dowolnego kodu po stronie klienta w kontekście uprzywilejowanego użytkownika.
- CVE-2023-37625Średnie
W wersji 3.4.7 Netboxa występuje podatność na przechowywane ataki XSS, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do szablonów linków niestandardowych.
- CVE-2023-34565Średnie
Netbox w wersji 3.5.1 jest podatny na atak typu Cross Site Scripting (XSS) w funkcji 'Tworzenie grup WLAN'.
- CVE-2023-33800Średnie
W Netbox v3.5.1 występuje podatność na przechowywane ataki XSS w funkcji tworzenia regionów (/dcim/regions/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.
- CVE-2023-33799Średnie
W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia kontaktów (/tenancy/contacts/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.
- CVE-2023-33798Średnie
W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia szafki (/dcim/rack/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.
- CVE-2023-33797Średnie
W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia witryn (/dcim/sites/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.
- CVE-2023-33795Średnie
W Netbox v3.5.1 występuje podatność typu XSS w funkcji tworzenia ról kontaktów, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie złośliwego ładunku do pola Nazwa.
Oryginalny opis (angielski, źródło NVD)
NetBox versions 4.3.5 through 4.5.4 contain a remote code execution vulnerability in the RenderTemplateMixin.get_environment_params() method that allows authenticated users with exporttemplate or configtemplate permissions to execute arbitrary code by specifying malicious Python callables in the environment_params field. Attackers can bypass Jinja2 SandboxedEnvironment protections by setting the finalize parameter to any importable Python callable such as subprocess.getoutput, which is invoked on every rendered expression outside the sandbox's call interception mechanism, achieving remote code execution as the NetBox service user.