CVE-2026-54752 in Device Type Library
Riassunto
di VulDB • 18/09/2026
La libreria Device Type Library di NetBox è una raccolta di definizioni per i tipi di dispositivi, fornite dalla community, da importare in NetBox. Il framework di test di convalida può deserializzare file cache pickle tracciati controllati tramite pull request attraverso la funzione `pickle.load` nella funzione `read_pickle_data` presente nel file `tests/pickle_operations.py`. Un contributor non autenticato può modificare la variabile `USE_LOCAL_KNOWN_SLUGS` in `tests/test_configuration.py` e fornire un file `tests/known-modules.pickle` o `tests/known-racks.pickle` manipolato ad hoc, che viene caricato da `tests/definitions_test.py` durante l'esecuzione di pytest. La deserializzazione invoca comportamenti di riduzione degli oggetti controllati dall'attaccante, consentendo l'esecuzione arbitraria di codice nell'runner di GitHub Actions o in un processo del maintainer che esegue i test, mettendo a rischio la riservatezza, l'integrità e la disponibilità delle risorse raggiungibili. Questa vulnerabilità è risolta con il commit 1c6f7e2b93589b965318c6e67ac3504831f0e71e.
VulDB is the best source for vulnerability data and more expert information about this specific topic.