Podatności Netbox v3.5.1

Wersje NetBox od 4.3.5 do 4.5.4 zawierają podatność na zdalne wykonanie kodu w metodzie RenderTemplateMixin.get_environment_params(). Umożliwia ona uwierzytelnionym użytkownikom z uprawnieniami exporttemplate lub configtemplate wykonanie dowolnego kodu poprzez określenie złośliwych wywołań Pythona w polu environment_params.

Podatność w Netbox v3.5.1 pozwala nieautoryzowanym atakującym na wykonywanie zapytań do bazy danych GraphQL, co może prowadzić do uzyskania dostępu do wrażliwych danych przechowywanych w bazie.

NetBox 4.5.8 zawiera podatność wstrzykiwania ORM, która pozwala uwierzytelnionym atakującym, w tym posiadaczom tokenów API tylko do odczytu, na wstrzykiwanie dowolnych wyrażeń ORM Django do zagnieżdżonych odwołań do obiektów poprzez dostarczenie spreparowanych kluczy słownika JSON w żądaniach POST, PUT lub PATCH do dowolnego endpointu REST API. Atakujący mogą wykorzystać nieograniczony queryset używany przez WritableNestedSerializer do przeprowadzenia ślepej ekstrakcji danych wrażliwych pól i obejścia uprawnień na poziomie obiektów we wszystkich modułach aplikacji, w tym dcim, ipam, tenancy, virtualization, circuits i extras.

NetBox, platforma do modelowania zasobów infrastruktury i zarządzania adresami IP, zawiera podatność na odbite cross-site scripting w wersjach od 2.11.0 do 3.7.x w logice obsługi ProtectedError, gdzie nazwy obiektów są umieszczane w komunikatach błędów HTML bez odpowiedniego kodowania. Pozwala to na renderowanie treści kontrolowanych przez użytkownika w interfejsie webowym, gdy operacja usuwania nie powiedzie się z powodu chronionych relacji, co może umożliwić wykonanie dowolnego kodu po stronie klienta w kontekście uprzywilejowanego użytkownika.

W wersji 3.4.7 Netboxa występuje podatność na przechowywane ataki XSS, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do szablonów linków niestandardowych.

Netbox w wersji 3.5.1 jest podatny na atak typu Cross Site Scripting (XSS) w funkcji 'Tworzenie grup WLAN'.

W Netbox v3.5.1 występuje podatność na przechowywane ataki XSS w funkcji tworzenia regionów (/dcim/regions/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia kontaktów (/tenancy/contacts/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia szafki (/dcim/rack/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia witryn (/dcim/sites/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu XSS w funkcji tworzenia ról kontaktów, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie złośliwego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia najemców (/tenancy/tenants/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu XSS, która pozwala na przechowywanie złośliwych skryptów w funkcji tworzenia paneli zasilania. Atakujący mogą wykonać dowolne skrypty webowe lub HTML poprzez wstrzyknięcie złośliwego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu XSS w funkcji tworzenia grup witryn, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie złośliwego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu XSS w funkcji tworzenia kont dostawców, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie złośliwego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia lokalizacji (/dcim/locations/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia grup kontaktów (/tenancy/contact-groups/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia dostawców (/circuits/providers/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu XSS w funkcji tworzenia grup najemców (/tenancy/tenant-groups/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność typu stored cross-site scripting (XSS) w funkcji tworzenia typów obwodów (/circuits/circuit-types/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.

W Netbox v3.5.1 występuje podatność na przechowywane ataki XSS w funkcji tworzenia ról szaf rackowych (/dcim/rack-roles/), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do pola Nazwa.