CVE-2026-44798
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W Nautobocie przed wersjami 2.4.33 i 3.1.2, użytkownik z dostępem do dodawania lub zmiany rekordu GitRepository mógł użyć API REST do bezpośredniego ustawienia pola current_head, co nie było zamierzone jako edytowalne przez użytkownika. Może to prowadzić do nieaktualnych stanów lokalnych klonów repozytoriów lub uniemożliwić korzystanie z repozytorium.
Ocena ryzyka
Organizacja może napotkać problemy z synchronizacją repozytoriów, co prowadzi do nieprawidłowych stanów i potencjalnych przestojów w pracy z kodem. Może to również wpłynąć na zaufanie do danych w systemie.
Rekomendacja
Zaleca się aktualizację Nautobota do wersji 2.4.33 lub 3.1.2, aby usunąć tę podatność. Należy również przeprowadzić audyt istniejących rekordów GitRepository w celu weryfikacji ich poprawności.
Inne podatności w Nautobot
Zobacz wszystkie- CVE-2026-83805Średnie
Nautobot w wersjach od 3.0.0 do 3.1.8 nie egzekwuje członkostwa w grupie zatwierdzających ani uprawnień do zmian na obiekcie w ogólnym punkcie końcowym tworzenia odpowiedzi ApprovalWorkflowStageResponse. Użytkownik z uprawnieniem extras.add_approvalworkflowstageresponse może bezpośrednio przesyłać zatwierdzone odpowiedzi, a pola użytkownika i stanu pozwalają przypisywać odpowiedzi dowolnym użytkownikom. Sfałszowane odpowiedzi mogą spełnić wymóg min_approvers, zatwierdzić przepływ pracy i aktywować zaplanowane zadanie bez prawowitego zatwierdzającego. Problem naprawiono w wersji 3.1.8.
- CVE-2026-83801Średnie
Nautobot przed wersjami 2.4.37 i 3.1.8 pozwala użytkownikom z uprawnieniami extras.add_relationship lub extras.change_relationship na przechowywanie HTML lub JavaScript w opisie Relationship, a użytkownikom z dcim.add_modulefamily lub dcim.change_modulefamily na przechowywanie go w nazwie Module Family. Wartości te są przypisywane do help_text pól formularza renderowanych przez render_field.html z filtrem |safe bez odpowiedniej neutralizacji. Przechowywana treść wykonuje się w sesji przeglądarki każdego uwierzytelnionego użytkownika, w tym administratora lub superużytkownika, który otworzy dotknięty formularz tworzenia lub edycji. Problem naprawiono w wersjach 2.4.37 i 3.1.8.
- CVE-2026-34203Niskie
W Nautobot przed wersjami 2.4.30 i 3.0.10 wykryto podatność polegającą na braku walidacji haseł przy tworzeniu i edycji użytkowników przez REST API. Możliwe jest ustawienie słabego hasła niezgodnego z konfiguracją.
Oryginalny opis (angielski, źródło NVD)
Nautobot is a Network Source of Truth and Network Automation Platform. Prior to 2.4.33 and 3.1.2, a user with access to add/change a GitRepository record could use the REST API to directly set the current_head field on the record, which was not intended to be user-editable. Doing so could cause Nautobot's local clone(s) of the relevant repository to checkout a commit other than the latest commit on the specified branch (resulting in misleading state), or potentially to be unable to make use of the repository at all (until manually remediated) due to the current_head pointing to a nonexistent commit hash or malformed value. This vulnerability is fixed in 2.4.33 and 3.1.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS