CVE-2024-36112 in Nautobot
Résumé
par VulDB • 17/05/2026
Nautobot est une plateforme d'automatisation réseau et une « Source de Vérité » (Source of Truth) pour les réseaux. Un utilisateur disposant des autorisations pour afficher les enregistrements de groupes dynamiques (autorisation `extras.view_dynamicgroup`) peut utiliser l'interface utilisateur de détail des groupes dynamiques (`/extras/dynamic-groups//`) et/ou la vue de l'API REST des membres (`/api/extras/dynamic-groups//members/`) pour répertorier les objets qui sont membres d'un groupe dynamique donné. Dans les versions de Nautobot comprises entre la 1.3.0 (où la fonctionnalité des groupes dynamiques a été ajoutée) et la 1.6.22 incluses, ainsi que dans les versions de 2.0.0 à 2.2.4 incluses, Nautobot ne restreint pas ces listes en fonction des autorisations des objets membres ; par exemple, un groupe dynamique d'objets « Device » répertoriera tous les « Devices » qu'il contient, indépendamment des autorisations `dcim.view_device` de l'utilisateur ou de leur absence. Ce problème a été corrigé dans les versions de Nautobot 1.6.23 et 2.2.5. Il est conseillé aux utilisateurs de procéder à une mise à niveau. Cette vulnérabilité peut être partiellement atténuée en retirant l'autorisation `extras.view_dynamicgroup` aux utilisateurs, mais une correction complète nécessitera une mise à niveau.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.