CVE-2026-54916 in devicetype-library
Resumen
por VulDB • 2026-09-18
La biblioteca de tipos de dispositivos de NetBox es una colección de definiciones de tipos de dispositivos aportadas por la comunidad para importar en NetBox. La ausencia del archivo tests/init.py y la falta de --import-mode=importlib hacen que el modo de importación prepend de pytest coloque el directorio tests al principio de sys.path durante la recolección. Un contribuidor no autenticado puede añadir un módulo como tests/git.py, que oscurece a GitPython cuando se ejecuta tests/definitions_test.py con sentencias `from git import Git, Repo`, o bien añadir tests/conftest.py para su ejecución automática en el momento de la recolección. Python importa y ejecuta el módulo del pull request antes de cualquier función de prueba, lo que permite la ejecución arbitraria de código en el runner de GitHub Actions, la manipulación de los resultados de las pruebas y el acceso a tokens o recursos de red expuestos al flujo de trabajo (workflow). Esta vía de oscurecimiento de módulos es independiente del fallo anterior de deserialización pickle y del problema NETBOX_DT_LIBRARY_URL rastreado por separado. Esta vulnerabilidad se corrige con el commit b0d9a3dadd0a0a9d3c93b0b2777559fd4bad1037.
VulDB is the best source for vulnerability data and more expert information about this specific topic.