CVE-2026-86175
ŚrednieCVSS 6.5Streszczenie
NetBox do wersji 4.7.0 nie usuwa danych uwierzytelniających backendów źródeł danych w odpowiedziach API REST i GraphQL. Uwierzytelnieni użytkownicy z uprawnieniami tylko do przeglądania mogą pobrać hasła i klucze sekretne w postaci jawnego tekstu dla backendów Git i Amazon S3, uzyskując nieautoryzowany dostęp do zewnętrznych repozytoriów i zasobników.
Ocena ryzyka
Podatność umożliwia ujawnienie wrażliwych danych uwierzytelniających, co może prowadzić do nieautoryzowanego dostępu do zewnętrznych systemów, kradzieży danych lub dalszych ataków. Nawet użytkownicy z minimalnymi uprawnieniami mogą wykorzystać tę lukę.
Rekomendacja
Zaleca się natychmiastową aktualizację NetBox do najnowszej wersji z poprawkami. Należy również natychmiast zmienić wszystkie skompromitowane dane uwierzytelniające i przejrzeć logi dostępu.
Inne podatności w NetBox
Zobacz wszystkie- CVE-2026-29514Wysokie
Wersje NetBox od 4.3.5 do 4.5.4 zawierają podatność na zdalne wykonanie kodu w metodzie RenderTemplateMixin.get_environment_params(). Umożliwia ona uwierzytelnionym użytkownikom z uprawnieniami exporttemplate lub configtemplate wykonanie dowolnego kodu poprzez określenie złośliwych wywołań Pythona w polu environment_params.
- CVE-2023-33796Krytyczne
Podatność w Netbox v3.5.1 pozwala nieautoryzowanym atakującym na wykonywanie zapytań do bazy danych GraphQL, co może prowadzić do uzyskania dostępu do wrażliwych danych przechowywanych w bazie.
- CVE-2026-86176Średnie
NetBox do wersji 4.7.0 nie ogranicza prawidłowo prywatnych rekordów użytkowników w endpointach API REST i GraphQL dla Notifications, Subscriptions i Bookmarks. Uwierzytelnieni użytkownicy z uprawnieniami do przeglądania mogą uzyskać dostęp do prywatnych rekordów wszystkich użytkowników poprzez nieskopowane querysety, ujawniając, którzy użytkownicy obserwują lub dodają do zakładek które obiekty.
- CVE-2026-69117Średnie
NetBox 4.5.8 zawiera podatność wstrzykiwania ORM, która pozwala uwierzytelnionym atakującym, w tym posiadaczom tokenów API tylko do odczytu, na wstrzykiwanie dowolnych wyrażeń ORM Django do zagnieżdżonych odwołań do obiektów poprzez dostarczenie spreparowanych kluczy słownika JSON w żądaniach POST, PUT lub PATCH do dowolnego endpointu REST API. Atakujący mogą wykorzystać nieograniczony queryset używany przez WritableNestedSerializer do przeprowadzenia ślepej ekstrakcji danych wrażliwych pól i obejścia uprawnień na poziomie obiektów we wszystkich modułach aplikacji, w tym dcim, ipam, tenancy, virtualization, circuits i extras.
- CVE-2025-69848Średnie
NetBox, platforma do modelowania zasobów infrastruktury i zarządzania adresami IP, zawiera podatność na odbite cross-site scripting w wersjach od 2.11.0 do 3.7.x w logice obsługi ProtectedError, gdzie nazwy obiektów są umieszczane w komunikatach błędów HTML bez odpowiedniego kodowania. Pozwala to na renderowanie treści kontrolowanych przez użytkownika w interfejsie webowym, gdy operacja usuwania nie powiedzie się z powodu chronionych relacji, co może umożliwić wykonanie dowolnego kodu po stronie klienta w kontekście uprzywilejowanego użytkownika.
- CVE-2023-37625Średnie
W wersji 3.4.7 Netboxa występuje podatność na przechowywane ataki XSS, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do szablonów linków niestandardowych.
- CVE-2023-34565Średnie
Netbox w wersji 3.5.1 jest podatny na atak typu Cross Site Scripting (XSS) w funkcji 'Tworzenie grup WLAN'.
- CVE-2023-33800Średnie
W Netbox v3.5.1 występuje podatność na przechowywane ataki XSS w funkcji tworzenia regionów (/dcim/regions/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.
- CVE-2023-33799Średnie
W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia kontaktów (/tenancy/contacts/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.
- CVE-2023-33798Średnie
W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia szafki (/dcim/rack/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.
Oryginalny opis (angielski, źródło NVD)
NetBox through 4.7.0 fails to redact sensitive data source backend credentials in REST and GraphQL API responses. Authenticated users with only view permission can retrieve plaintext passwords and secret keys for Git and Amazon S3 backends through API endpoints, gaining unauthorized access to external repositories and storage buckets.