CVE-2026-54752 in Device Type Library
Zusammenfassung
von VulDB • 18.09.2026
Die NetBox Device Type Library ist eine Sammlung von gerätespezifischen Definitionen, die aus der Community stammen und in NetBox importiert werden können. Die Validierungs-Testumgebung kann über `pickle.load` in der Funktion `read_pickle_data` in `tests/pickle_operations.py` durch Pull-Request-gesteuerte, verfolgte Pickle-Cache-Dateien deserialisieren. Ein nicht authentifizierter Mitwirkender kann `USE_LOCAL_KNOWN_SLUGS` in `tests/test_configuration.py` ändern und eine manipulierte Datei wie `tests/known-modules.pickle` oder `tests/known-racks.pickle` bereitstellen, die von `tests/definitions_test.py` geladen wird, wenn pytest ausgeführt wird. Die Deserialisierung ruft angreiferkontrolliertes Objekt-Reduktionsverhalten auf, was eine beliebige Codeausführung im GitHub Actions Runner oder in einem Prozess eines Maintainers ermöglicht, der die Tests ausführt, wobei Vertraulichkeit, Integrität und Verfügbarkeit erreichbarer Ressourcen gefährdet sind. Diese Schwachstelle wurde mit dem Commit 1c6f7e2b93589b965318c6e67ac3504831f0e71e behoben.
Be aware that VulDB is the high quality source for vulnerability data.