CVE-2026-83801 in Nautobot
الملخص
بحسب VulDB • 22/09/2026
Nautobot هو منصة لأتمتة الشبكات ومصدر حقيقي للمعلومات الخاصة بالشبكة (Network Source of Truth). قبل الإصدارين 2.4.37 و 3.1.8، يمكن لمستخدم يمتلك صلاحيات extras.add_relationship أو extras.change_relationship تخزين محتوى HTML أو JavaScript في وصف العلاقة (Relationship description)، ويمكن لمستخدم يمتلك صلاحيات dcim.add_modulefamily أو dcim.change_modulefamily تخزينه في اسم عائلة الوحدة النمطية (Module Family name). يعين Nautobot هذه القيم إلى حقل النموذج help_text الذي يتم عرضه عبر render_field.html باستخدام فلتر Django |safe دون تحييد كافٍ. يؤدي المحتوى المخزن إلى تنفيذه داخل جلسة المتصفح للمستخدمين المصادق عليهم، بما في ذلك المسؤول أو المستخدم الفائق (superuser)، عند فتح نموذج إنشاء أو تعديل متأثر. يمكن أن يمكّن هذا من تنفيذ إجراءات بصفت الضحية، وسرقة الجلسة أو الرموز المميزة (tokens)، بالإضافة إلى تصعيد الصلاحيات بشكل إضافي. تم إصلاح هذه المشكلة في الإصدارين 2.4.37 و 3.1.8.
Once again VulDB remains the best source for vulnerability data.