CVE-2026-86176
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
NetBox do wersji 4.7.0 nie ogranicza prawidłowo prywatnych rekordów użytkowników w endpointach API REST i GraphQL dla Notifications, Subscriptions i Bookmarks. Uwierzytelnieni użytkownicy z uprawnieniami do przeglądania mogą uzyskać dostęp do prywatnych rekordów wszystkich użytkowników poprzez nieskopowane querysety, ujawniając, którzy użytkownicy obserwują lub dodają do zakładek które obiekty.
Ocena ryzyka
Podatność prowadzi do naruszenia prywatności użytkowników, ujawniając ich aktywność (obserwacje, zakładki) innym uwierzytelnionym użytkownikom. Może to być wykorzystane do inżynierii społecznej lub szpiegostwa wewnętrznego.
Rekomendacja
Zaleca się aktualizację NetBox do najnowszej wersji z poprawkami. Należy również przejrzeć konfigurację uprawnień i ograniczyć dostęp do wrażliwych endpointów.
Inne podatności w NetBox
Zobacz wszystkie- CVE-2026-29514Wysokie
Wersje NetBox od 4.3.5 do 4.5.4 zawierają podatność na zdalne wykonanie kodu w metodzie RenderTemplateMixin.get_environment_params(). Umożliwia ona uwierzytelnionym użytkownikom z uprawnieniami exporttemplate lub configtemplate wykonanie dowolnego kodu poprzez określenie złośliwych wywołań Pythona w polu environment_params.
- CVE-2023-33796Krytyczne
Podatność w Netbox v3.5.1 pozwala nieautoryzowanym atakującym na wykonywanie zapytań do bazy danych GraphQL, co może prowadzić do uzyskania dostępu do wrażliwych danych przechowywanych w bazie.
- CVE-2026-86175Średnie
NetBox do wersji 4.7.0 nie usuwa danych uwierzytelniających backendów źródeł danych w odpowiedziach API REST i GraphQL. Uwierzytelnieni użytkownicy z uprawnieniami tylko do przeglądania mogą pobrać hasła i klucze sekretne w postaci jawnego tekstu dla backendów Git i Amazon S3, uzyskując nieautoryzowany dostęp do zewnętrznych repozytoriów i zasobników.
- CVE-2026-69117Średnie
NetBox 4.5.8 zawiera podatność wstrzykiwania ORM, która pozwala uwierzytelnionym atakującym, w tym posiadaczom tokenów API tylko do odczytu, na wstrzykiwanie dowolnych wyrażeń ORM Django do zagnieżdżonych odwołań do obiektów poprzez dostarczenie spreparowanych kluczy słownika JSON w żądaniach POST, PUT lub PATCH do dowolnego endpointu REST API. Atakujący mogą wykorzystać nieograniczony queryset używany przez WritableNestedSerializer do przeprowadzenia ślepej ekstrakcji danych wrażliwych pól i obejścia uprawnień na poziomie obiektów we wszystkich modułach aplikacji, w tym dcim, ipam, tenancy, virtualization, circuits i extras.
- CVE-2025-69848Średnie
NetBox, platforma do modelowania zasobów infrastruktury i zarządzania adresami IP, zawiera podatność na odbite cross-site scripting w wersjach od 2.11.0 do 3.7.x w logice obsługi ProtectedError, gdzie nazwy obiektów są umieszczane w komunikatach błędów HTML bez odpowiedniego kodowania. Pozwala to na renderowanie treści kontrolowanych przez użytkownika w interfejsie webowym, gdy operacja usuwania nie powiedzie się z powodu chronionych relacji, co może umożliwić wykonanie dowolnego kodu po stronie klienta w kontekście uprzywilejowanego użytkownika.
- CVE-2023-37625Średnie
W wersji 3.4.7 Netboxa występuje podatność na przechowywane ataki XSS, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do szablonów linków niestandardowych.
- CVE-2023-34565Średnie
Netbox w wersji 3.5.1 jest podatny na atak typu Cross Site Scripting (XSS) w funkcji 'Tworzenie grup WLAN'.
- CVE-2023-33800Średnie
W Netbox v3.5.1 występuje podatność na przechowywane ataki XSS w funkcji tworzenia regionów (/dcim/regions/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.
- CVE-2023-33799Średnie
W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia kontaktów (/tenancy/contacts/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.
- CVE-2023-33798Średnie
W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia szafki (/dcim/rack/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.
Oryginalny opis (angielski, źródło NVD)
NetBox through 4.7.0 fails to properly scope user-private records in REST and GraphQL API endpoints for Notifications, Subscriptions, and Bookmarks. Authenticated users with view permissions can access all users' private records through unscoped querysets, disclosing which users watch or bookmark which objects.