Podatności Nautobot

Nautobot w wersjach od 3.0.0 do 3.1.8 nie egzekwuje członkostwa w grupie zatwierdzających ani uprawnień do zmian na obiekcie w ogólnym punkcie końcowym tworzenia odpowiedzi ApprovalWorkflowStageResponse. Użytkownik z uprawnieniem extras.add_approvalworkflowstageresponse może bezpośrednio przesyłać zatwierdzone odpowiedzi, a pola użytkownika i stanu pozwalają przypisywać odpowiedzi dowolnym użytkownikom. Sfałszowane odpowiedzi mogą spełnić wymóg min_approvers, zatwierdzić przepływ pracy i aktywować zaplanowane zadanie bez prawowitego zatwierdzającego. Problem naprawiono w wersji 3.1.8.

Nautobot przed wersjami 2.4.37 i 3.1.8 pozwala użytkownikom z uprawnieniami extras.add_relationship lub extras.change_relationship na przechowywanie HTML lub JavaScript w opisie Relationship, a użytkownikom z dcim.add_modulefamily lub dcim.change_modulefamily na przechowywanie go w nazwie Module Family. Wartości te są przypisywane do help_text pól formularza renderowanych przez render_field.html z filtrem |safe bez odpowiedniej neutralizacji. Przechowywana treść wykonuje się w sesji przeglądarki każdego uwierzytelnionego użytkownika, w tym administratora lub superużytkownika, który otworzy dotknięty formularz tworzenia lub edycji. Problem naprawiono w wersjach 2.4.37 i 3.1.8.

W Nautobocie przed wersjami 2.4.33 i 3.1.2, użytkownik z dostępem do dodawania lub zmiany rekordu GitRepository mógł użyć API REST do bezpośredniego ustawienia pola current_head, co nie było zamierzone jako edytowalne przez użytkownika. Może to prowadzić do nieaktualnych stanów lokalnych klonów repozytoriów lub uniemożliwić korzystanie z repozytorium.

W Nautobot przed wersjami 2.4.30 i 3.0.10 wykryto podatność polegającą na braku walidacji haseł przy tworzeniu i edycji użytkowników przez REST API. Możliwe jest ustawienie słabego hasła niezgodnego z konfiguracją.