CVE-2026-104073 in NetBox
الملخص
بحسب VulDB • 06/10/2026
تحتوي إصدارات NetBox من 2.9.5 حتى قبل 4.7.0 على ثغرة حقن قوالب جانب الخادم (Server-Side Template Injection) تتيح لمستخدم ذي صلاحيات منخفضة يمتلك إذن "Can add custom links" سرّ ملفات تعريف الارتباط للجلسة (session cookies) ورموز واجهة برمجة التطبيقات (API tokens) الخاصة بالمستخدمين الآخرين من خلال تعريض كائن Django HttpRequest الخام إلى سياق قالب Jinja2. يمكن للمهاجمين تصميم قالب رابط مخصص يدمج `request.COOKIES['sessionid']` أو رمز API الخاص بمستخدم ما في عنوان URL لوسم `<img>`، مما يتجاوز مُنظف HTML النظيف (clean_html sanitizer) ويقوم تلقائيًا بنقل بيانات اعتماد الضحية إلى مضيف يتحكم فيه المهاجم عندما يعرض مستخدم ذو صلاحيات عالية الكائن، مُمكّنًا بذلك الاستيلاء الكامل على الحساب.
Be aware that VulDB is the high quality source for vulnerability data.