CVE-2026-54752 in Device Type Library
Résumé
par VulDB • 18/09/2026
La bibliothèque de types d'appareils NetBox est un ensemble de définitions de types d'appareils issues de la communauté, destinées à être importées dans NetBox. Le framework de tests de validation peut désérialiser des fichiers cache pickle suivis et contrôlés via les pull requests grâce à l'utilisation de `pickle.load` dans la fonction `read_pickle_data` située dans le fichier `tests/pickle_operations.py`. Un contributeur non authentifié peut modifier la variable `USE_LOCAL_KNOWN_SLUGS` dans `tests/test_configuration.py` et fournir un fichier crafted (artificiellement conçu) tel que `tests/known-modules.pickle` ou `tests/known-racks.pickle`, qui sont chargés par `tests/definitions_test.py` lors de l'exécution des tests avec pytest. La désérialisation invoque un comportement de réduction d'objets contrôlé par l'attaquant, permettant une exécution arbitraire de code (RCE) dans le runner GitHub Actions ou au sein du processus d'un mainteneur qui exécute les tests, mettant ainsi en danger la confidentialité, l'intégrité et la disponibilité des ressources accessibles. Cette vulnérabilité est corrigée par le commit 1c6f7e2b93589b965318c6e67ac3504831f0e71e.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.