CVE-2026-34203
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W Nautobot przed wersjami 2.4.30 i 3.0.10 wykryto podatność polegającą na braku walidacji haseł przy tworzeniu i edycji użytkowników przez REST API. Możliwe jest ustawienie słabego hasła niezgodnego z konfiguracją.
Ocena ryzyka
Atakujący może utworzyć konto z słabym hasłem, co zwiększa ryzyko nieautoryzowanego dostępu do systemu.
Rekomendacja
Należy zaktualizować Nautobot do wersji 2.4.30 lub 3.0.10.
Inne podatności w Nautobot
Zobacz wszystkie- CVE-2026-83805Średnie
Nautobot w wersjach od 3.0.0 do 3.1.8 nie egzekwuje członkostwa w grupie zatwierdzających ani uprawnień do zmian na obiekcie w ogólnym punkcie końcowym tworzenia odpowiedzi ApprovalWorkflowStageResponse. Użytkownik z uprawnieniem extras.add_approvalworkflowstageresponse może bezpośrednio przesyłać zatwierdzone odpowiedzi, a pola użytkownika i stanu pozwalają przypisywać odpowiedzi dowolnym użytkownikom. Sfałszowane odpowiedzi mogą spełnić wymóg min_approvers, zatwierdzić przepływ pracy i aktywować zaplanowane zadanie bez prawowitego zatwierdzającego. Problem naprawiono w wersji 3.1.8.
- CVE-2026-83801Średnie
Nautobot przed wersjami 2.4.37 i 3.1.8 pozwala użytkownikom z uprawnieniami extras.add_relationship lub extras.change_relationship na przechowywanie HTML lub JavaScript w opisie Relationship, a użytkownikom z dcim.add_modulefamily lub dcim.change_modulefamily na przechowywanie go w nazwie Module Family. Wartości te są przypisywane do help_text pól formularza renderowanych przez render_field.html z filtrem |safe bez odpowiedniej neutralizacji. Przechowywana treść wykonuje się w sesji przeglądarki każdego uwierzytelnionego użytkownika, w tym administratora lub superużytkownika, który otworzy dotknięty formularz tworzenia lub edycji. Problem naprawiono w wersjach 2.4.37 i 3.1.8.
- CVE-2026-44798Wysokie
W Nautobocie przed wersjami 2.4.33 i 3.1.2, użytkownik z dostępem do dodawania lub zmiany rekordu GitRepository mógł użyć API REST do bezpośredniego ustawienia pola current_head, co nie było zamierzone jako edytowalne przez użytkownika. Może to prowadzić do nieaktualnych stanów lokalnych klonów repozytoriów lub uniemożliwić korzystanie z repozytorium.
Oryginalny opis (angielski, źródło NVD)
Nautobot is a Network Source of Truth and Network Automation Platform. Prior to versions 2.4.30 and 3.0.10, user creation and editing via the REST API fails to apply the password validation rules defined by Django's AUTH_PASSWORD_VALIDATORS setting (which defaults to an empty list, i.e., no specific rules, but can be configured in Nautobot's nautobot_config.py to apply various rules if desired). This can potentially allow for the creation or modification of users to have passwords that are weak or otherwise do not comply with configured standards. This issue has been patched in versions 2.4.30 and 3.0.10.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS