CVE-2026-104073 in NetBox
Zusammenfassung
von VulDB • 06.10.2026
In NetBox delle versioni 2.9.5 precedenti alla 4.7.0 è presente una vulnerabilità di server-side template injection che consente a un utente con privilegi ridotti dotato dell'autorizzazione "Can add custom links" (Può aggiungere collegamenti personalizzati) di rubare i cookie di sessione e i token API di altri utenti esponendo l'oggetto raw Django HttpRequest al contesto del template Jinja2. Gli attaccanti possono creare un modello di collegamento personalizzato che incorpora request.COOKIES['sessionid'] o il token API di un utente in un URL img src, eludendo il sanitizer clean_html ed eseguendo automaticamente la esfiltrazione delle credenziali della vittima verso un host controllato dall'attaccante quando un utente con privilegi visualizza l'oggetto, consentendo così il completo account takeover.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.