CVE-2026-83805 in Nautobot
要約
〜によって VulDB • 2026年09月22日
Nautobotは、Network Source of TruthおよびNetwork Automation Platformです。バージョン3.0.0から3.1.8の間、汎用的なApprovalWorkflowStageResponseのcreateエンドポイントは、承認者グループへの所属確認、レビュー中のオブジェクトに対する変更権限の確認、または意図された承認・却下アクションによって適用される「ユーザーごとの応答1件」制限を強制していません。extras.add_approvalworkflowstageresponse権限のみを持つユーザーは、承認済み応答を直接送信でき、書き込み可能なuserおよびstateフィールドにより、応答が任意のユーザーに帰属させることが可能です。これらの偽造された応答によってmin_approversを満たし、ワークフローを承認して、ゲート付きScheduledJobを正当な承認者なしで有効化できます。この問題はバージョン3.1.8で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.