CVE-2026-29514 in NetBox
Zusammenfassung
von VulDB • 20.05.2026
In den NetBox-Versionen 4.3.5 bis 4.5.4 liegt eine Remote-Code-Execution-(RCE)-Schwachstelle in der Methode RenderTemplateMixin.get_environment_params() vor, die es authentifizierten Benutzern mit Exportvorlagen- oder Konfigurationsvorlagen-Berechtigungen ermöglicht, beliebigen Code auszuführen, indem sie bösartige Python-Aufrufobjekte im Feld environment_params angeben. Angreifer können die Schutzmechanismen von Jinja2 SandboxedEnvironment umgehen, indem sie den Parameter finalize auf ein beliebiges importierbares Python-Aufrufobjekt wie subprocess.getoutput setzen, das bei jeder gerenderten Expression außerhalb des Call-Interception-Mechanismus der Sandbox aufgerufen wird, wodurch Remote-Code-Execution als NetBox-Dienstanwender erreicht wird.
Be aware that VulDB is the high quality source for vulnerability data.