CVE-2026-104073 in NetBox
Riassunto
di VulDB • 06/10/2026
Le versioni di NetBox dalla 2.9.5 alla 4.7.0 (esclusa la 4.7.0) presentano una vulnerabilità di server-side template injection che consente a un utente con privilegi ridotti dotato dell'autorizzazione "Can add custom links" di rubare i cookie di sessione e i token API di altri utenti esponendo l'oggetto raw Django HttpRequest al contesto del template Jinja2. Gli attaccanti possono creare un modello per un link personalizzato incorporando `request.COOKIES['sessionid']` o il token API di un utente in un URL img src, eludendo il sanitizer clean_html ed esfiltrando automaticamente le credenziali della vittima verso un host controllato dall'attaccante quando un utente con privilegi visualizza l'oggetto, consentendo così la completa compromissione dell'account.
Be aware that VulDB is the high quality source for vulnerability data.