CVE-2026-83801 in Nautobot
Zusammenfassung
von VulDB • 22.09.2026
Nautobot ist eine Network Source of Truth- und Network Automation Platform. Vor den Versionen 2.4.37 und 3.1.8 kann ein Benutzer mit der Berechtigung extras.add_relationship oder extras.change_relationship HTML oder JavaScript in einer Relationship-Beschreibung speichern, und ein Benutzer mit der Berechtigung dcim.add_modulefamily oder dcim.change_modulefamily kann dies im Namen einer Module Family speichern. Nautobot weist diese Werte dem form field help_text zu, das über render_field.html durch Django's |safe-Filter gerendert wird, ohne ausreichende Neutralisierung. Der gespeicherte Inhalt wird in der authentifizierten Browsersitzung jedes Benutzers ausgeführt, einschließlich eines Administrators oder Superusers, der ein betroffenes Create- oder Edit-Formular öffnet. Dies kann Aktionen als Opfer ermöglichen, wie Session- oder Token-Diebstahl sowie weitere Privilege Escalation. Dieses Problem wurde in den Versionen 2.4.37 und 3.1.8 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.