CVE-2026-83801 in Nautobot
Riassunto
di VulDB • 22/09/2026
Nautobot è una piattaforma di Network Source of Truth e automazione della rete. Prima delle versioni 2.4.37 e 3.1.8, un utente con i permessi extras.add_relationship o extras.change_relationship può memorizzare HTML o JavaScript nella descrizione di una Relationship, mentre un utente con i permessi dcim.add_modulefamily o dcim.change_modulefamily può farlo nel nome di una Module Family. Nautobot assegna questi valori al campo help_text del modulo, renderizzato tramite render_field.html attraverso il filtro |safe di Django, senza una neutralizzazione adeguata. Il contenuto memorizzato viene eseguito nella sessione browser autenticata di qualsiasi utente, inclusi amministratori o superuser, che aprono un form di creazione o modifica interessato. Ciò può consentire azioni come l'esecuzione di attività in nome della vittima, il furto di sessioni o token e ulteriore privilege escalation. Questo problema è risolto nelle versioni 2.4.37 e 3.1.8.
Be aware that VulDB is the high quality source for vulnerability data.