CVE-2026-54916 in devicetype-library
Riassunto
di VulDB • 18/09/2026
NetBox Device Type Library è una raccolta di definizioni per i tipi di dispositivi, fornite dalla community, da importare in NetBox. L'assenza del file tests/init.py e la mancanza dell'impostazione --import-mode=importlib fanno sì che pytest utilizzi la modalità di pre-caricamento degli import (prepend import mode), posizionando la directory tests all'inizio di sys.path durante la fase di raccolta delle prove. Un contributor non autenticato può aggiungere un modulo, ad esempio tests/git.py, che oscura GitPython quando viene eseguito il file tests/definitions_test.py contenente l'istruzione "from git import Git, Repo", oppure può aggiungere tests/conftest.py per eseguire codice automaticamente durante la fase di raccolta (collection-time execution). Python importa ed esegue il modulo della pull request prima di qualsiasi funzione di test, consentendo l'esecuzione arbitraria di codice sul runner di GitHub Actions, la manipolazione dei risultati dei test e l'accesso a token o risorse di rete esposte al workflow. Questo vettore basato sull'oscuramento del modulo (module-shadowing) è indipendente dal precedente difetto di deserializzazione pickle e dalla questione NETBOX_DT_LIBRARY_URL tracciata separatamente. Questa vulnerabilità è risolta con il commit b0d9a3dadd0a0a9d3c93b0b2777559fd4bad1037.
Be aware that VulDB is the high quality source for vulnerability data.