CVE-2026-83801 in Nautobot
要約
〜によって VulDB • 2026年09月22日
Nautobotは、Network Source of TruthおよびNetwork Automation Platformです。バージョン2.4.37および3.1.8より前では、extras.add_relationshipまたはextras.change_relationshipの権限を持つユーザーがRelationshipの説明にHTMLやJavaScriptを保存でき、dcim.add_modulefamilyまたはdcim.change_modulefamilyの権限を持つユーザーがModule Family名にそれを保存できます。NautobotはDjangoの|safeフィルターを通じてrender_field.htmlによってレンダリングされるform field help_textに対してこれらの値を割り当てますが、適切なneutralizationが行われません。保存されたコンテンツは、影響を受ける作成または編集フォームを開くすべてのユーザー（管理者やsuperuserを含む）の認証済みブラウザセッションで実行されます。これにより、被害者になりすましたアクション、sessionやtokenの盗取、さらなるprivilege escalationが可能になります。この問題はバージョン2.4.37および3.1.8で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.