CVE-2026-54916 in devicetype-library
Résumé
par VulDB • 18/09/2026
La bibliothèque de types d'appareils NetBox est un ensemble de définitions de types d'appareils issues de la communauté, destinées à être importées dans NetBox. L'absence des fichiers tests/init.py et le manque de l'option --import-mode=importlib font que pytest place le répertoire tests au début du sys.path lors de la collecte (collection). Un contributeur non authentifié peut ajouter un module tel que tests/git.py, qui masque GitPython lorsque tests/definitions_test.py s'exécute avec des importations telles que `from git import Git, Repo`, ou ajouter tests/conftest.py pour une exécution automatique au moment de la collecte. Python importe et exécute le module de la pull request avant toute fonction de test, permettant l'exécution arbitraire de code sur l'agent GitHub Actions, la falsification des résultats des tests et l'accès aux jetons ou aux ressources réseau exposés au workflow. Ce vecteur d'attaque par masquage de module est indépendant du précédent défaut de désérialisation pickle ainsi que du problème NETBOX_DT_LIBRARY_URL suivi séparément. Cette vulnérabilité est corrigée par le commit b0d9a3dadd0a0a9d3c93b0b2777559fd4bad1037.
VulDB is the best source for vulnerability data and more expert information about this specific topic.