CVE-2026-69117
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
NetBox 4.5.8 zawiera podatność wstrzykiwania ORM, która pozwala uwierzytelnionym atakującym, w tym posiadaczom tokenów API tylko do odczytu, na wstrzykiwanie dowolnych wyrażeń ORM Django do zagnieżdżonych odwołań do obiektów poprzez dostarczenie spreparowanych kluczy słownika JSON w żądaniach POST, PUT lub PATCH do dowolnego endpointu REST API. Atakujący mogą wykorzystać nieograniczony queryset używany przez WritableNestedSerializer do przeprowadzenia ślepej ekstrakcji danych wrażliwych pól i obejścia uprawnień na poziomie obiektów we wszystkich modułach aplikacji, w tym dcim, ipam, tenancy, virtualization, circuits i extras.
Ocena ryzyka
Wstrzykiwanie ORM może umożliwić atakującym ekstrakcję wrażliwych danych i obejście uprawnień, co może prowadzić do naruszenia poufności i integralności danych w całej aplikacji.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie NetBox do wersji, która zawiera poprawkę na tę podatność. Należy również ograniczyć uprawnienia tokenów API i monitorować nietypowe żądania REST.
Oryginalny opis (angielski, źródło NVD)
NetBox 4.5.8 contains an ORM injection vulnerability that allows authenticated attackers, including those with read-only API tokens, to inject arbitrary Django ORM lookup expressions into nested object references by supplying crafted JSON dictionary keys in POST, PUT, or PATCH requests to any REST API endpoint. Attackers can exploit the unrestricted queryset used by WritableNestedSerializer to perform boolean-based blind data extraction of sensitive field values and bypass object-level permissions across all application modules including dcim, ipam, tenancy, virtualization, circuits, and extras.