CVE-2026-55251
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
NetBox Device Type Library to zbiór definicji typów urządzeń tworzonych przez społeczność do importu do NetBox. Przed commitem f41fc1e workflow CI .github/workflows/validation.yml uruchamia się na pull_request i wykonuje kod dostarczony w pull request przed jakąkolwiek weryfikacją przez opiekuna. Trzy pliki edytowalne przez PR napędzają ten proces: 'requirements.txt', '.pre-commit-hooks-config.yaml' / '.pre-commit-yamlfmt-config.yaml' oraz '.gitmodules'. Współtwórca bez specjalnego dostępu do repozytorium może otworzyć pull request, który modyfikuje te pliki i spowodować uruchomienie swojego kodu na runnerze CI. Problem został naprawiony w commicie f41fc1e.
Ocena ryzyka
Atakujący może wykonać dowolny kod w środowisku CI, co może prowadzić do kradzieży sekretów, modyfikacji artefaktów lub dalszego ruchu bocznego. Wpływa to na integralność i poufność procesu budowania.
Rekomendacja
Zaktualizuj repozytorium do commita f41fc1e lub nowszego. Dodatkowo rozważ ograniczenie uprawnień w workflow CI i wymaganie zatwierdzenia przed uruchomieniem kodu z PR.
Inne podatności w NetBox Device Type Library
Zobacz wszystkie- CVE-2026-54752Krytyczne
Biblioteka NetBox Device Type Library zawiera podatność deserializacji w narzędziu testowym, które ładuje pliki pickle kontrolowane przez autora pull requesta. Nieuwierzytelniony współtwórca może dostarczyć spreparowany plik pickle, co prowadzi do wykonania dowolnego kodu podczas uruchamiania testów pytest w GitHub Actions lub w procesie opiekuna projektu.
- CVE-2026-54918Średnie
NetBox Device Type Library w dotkniętych rewizjach repozytorium zawiera stałą NETBOX_DT_LIBRARY_URL w tests/test_configuration.py, która jest swobodnie modyfikowalna przez nieuwierzytelnionego autora pull requesta przed uruchomieniem testów walidacyjnych. Podczas zbierania pytest, tests/definitions_test.py przekazuje tę wartość do Repo.clone_from i create_remote("upstream").fetch(), co powoduje ślepe żądania Git smart-HTTP do wybranego przez atakującego hosta lub ładowanie kontrolowanych przez atakującego plików tests/known-*.json jako pamięci podręcznej walidacji. Ślepe żądanie nie może ustawić dowolnych nagłówków usługi metadanych ani zwrócić treści odpowiedzi, a ta ścieżka nie wykonuje zdalnych hooków Git, ale podstawione znane dane mogą ominąć walidację unikalności slug, modułu i szafy. Podatność naprawiono w commicie 8980c690097e92f5028c7e6df402b327d827ecd5.
- CVE-2026-54916Wysokie
NetBox Device Type Library, zbiór definicji typów urządzeń do importu do NetBox, posiada podatność wynikającą z braku tests/init.py i braku --import-mode=importlib, co powoduje umieszczenie katalogu tests na początku sys.path podczas zbierania testów przez pytest. Nieuwierzytelniony współtwórca może dodać moduł taki jak tests/git.py przesłaniający GitPython lub tests/conftest.py, co prowadzi do wykonania dowolnego kodu na runnerze GitHub Actions.
Oryginalny opis (angielski, źródło NVD)
NetBox Device Type Library is a collection of community-sourced device type definitions for import into NetBox. Prior to commit f41fc1e, the CI workflow .github/workflows/validation.yml runs on pull_request and executes code supplied by the pull request before any maintainer review. Three PR-editable files drive this: "requirements.txt", ".pre-commit-hooks-config.yaml" / ".pre-commit-yamlfmt-config.yaml", and ".gitmodules". A contributor with no special repository access could open a pull request that modifies these files and have their code run on the CI runner. This issue has been patched via commit f41fc1e.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS