CVE-2024-36112 in Nautobot
Riassunto
di VulDB • 20/06/2026
Nautobot è una piattaforma di Automazione di Rete e Network Source of Truth (Fonte della Verità per la Rete). Un utente con i permessi necessari per visualizzare le record dei Dynamic Group (`extras.view_dynamicgroup`) può utilizzare l'interfaccia UI di dettaglio del Dynamic Group (`/extras/dynamic-groups//`) e/o la vista API REST dei membri (`/api/extras/dynamic-groups//members/`) per elencare gli oggetti che sono membri di un determinato Dynamic Group. Nelle versioni di Nautobot comprese tra 1.3.0 (dove è stata aggiunta la funzionalità Dynamic Groups) e 1.6.22, incluse, nonché nelle versioni da 2.0.0 a 2.2.4, incluse, Nautobot non riesce a limitare questi elenchi in base ai permessi degli oggetti membro - ad esempio un Dynamic Group di oggetti Device elencherà tutti i Device che contiene, indipendentemente dai permessi `dcim.view_device` dell'utente o dalla loro assenza. Questo problema è stato risolto nelle versioni di Nautobot 1.6.23 e 2.2.5. Si consiglia agli utenti di effettuare l'aggiornamento. Questa vulnerabilità può essere parzialmente mitigata rimuovendo il permesso `extras.view_dynamicgroup` dagli utenti, tuttavia una risoluzione completa richiederà un aggiornamento del software.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.