CVE-2026-83801
ŚrednieCVSS 5.4Streszczenie
Nautobot przed wersjami 2.4.37 i 3.1.8 pozwala użytkownikom z uprawnieniami extras.add_relationship lub extras.change_relationship na przechowywanie HTML lub JavaScript w opisie Relationship, a użytkownikom z dcim.add_modulefamily lub dcim.change_modulefamily na przechowywanie go w nazwie Module Family. Wartości te są przypisywane do help_text pól formularza renderowanych przez render_field.html z filtrem |safe bez odpowiedniej neutralizacji. Przechowywana treść wykonuje się w sesji przeglądarki każdego uwierzytelnionego użytkownika, w tym administratora lub superużytkownika, który otworzy dotknięty formularz tworzenia lub edycji. Problem naprawiono w wersjach 2.4.37 i 3.1.8.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w kontekście administratora, co może prowadzić do kradzieży sesji, tokenów i eskalacji uprawnień.
Rekomendacja
Zaktualizuj Nautobota do wersji 2.4.37 lub 3.1.8 (lub nowszej), aby zapobiec przechowywanemu XSS.
Inne podatności w Nautobot
Zobacz wszystkie- CVE-2026-83805Średnie
Nautobot w wersjach od 3.0.0 do 3.1.8 nie egzekwuje członkostwa w grupie zatwierdzających ani uprawnień do zmian na obiekcie w ogólnym punkcie końcowym tworzenia odpowiedzi ApprovalWorkflowStageResponse. Użytkownik z uprawnieniem extras.add_approvalworkflowstageresponse może bezpośrednio przesyłać zatwierdzone odpowiedzi, a pola użytkownika i stanu pozwalają przypisywać odpowiedzi dowolnym użytkownikom. Sfałszowane odpowiedzi mogą spełnić wymóg min_approvers, zatwierdzić przepływ pracy i aktywować zaplanowane zadanie bez prawowitego zatwierdzającego. Problem naprawiono w wersji 3.1.8.
- CVE-2026-44798Wysokie
W Nautobocie przed wersjami 2.4.33 i 3.1.2, użytkownik z dostępem do dodawania lub zmiany rekordu GitRepository mógł użyć API REST do bezpośredniego ustawienia pola current_head, co nie było zamierzone jako edytowalne przez użytkownika. Może to prowadzić do nieaktualnych stanów lokalnych klonów repozytoriów lub uniemożliwić korzystanie z repozytorium.
- CVE-2026-34203Niskie
W Nautobot przed wersjami 2.4.30 i 3.0.10 wykryto podatność polegającą na braku walidacji haseł przy tworzeniu i edycji użytkowników przez REST API. Możliwe jest ustawienie słabego hasła niezgodnego z konfiguracją.
Oryginalny opis (angielski, źródło NVD)
Nautobot is a Network Source of Truth and Network Automation Platform. Prior to 2.4.37 and 3.1.8, a user with extras.add_relationship or extras.change_relationship permission can store HTML or JavaScript in a Relationship description, and a user with dcim.add_modulefamily or dcim.change_modulefamily permission can store it in a Module Family name. Nautobot assigns these values to form field help_text rendered by render_field.html through Django's |safe filter without adequate neutralization. The stored content executes in the authenticated browser session of any user, including an administrator or superuser, who opens an affected create or edit form. This can enable actions as the victim, session or token theft, and further privilege escalation. This issue is fixed in versions 2.4.37 and 3.1.8.