CVE-2026-104073 in NetBox
요약
\~에 의해 VulDB • 2026. 10. 06.
NetBox 2.9.5부터 4.7.0 미만 버전에는 서버 사이드 템플릿 인젝션(SSTI) 취약점이 존재합니다. 이 취약점은 "Can add custom links" 권한이 있는 저권한 사용자가 Django HttpRequest 객체를 Jinja2 템플릿 컨텍스트에 노출시킴으로써 다른 사용자의 세션 쿠키와 API 토큰을 탈취할 수 있게 합니다. 공격자는 request.COOKIES['sessionid'] 또는 사용자 API 토큰이 포함된 img src URL로 커스텀 링크 템플릿을 작성하여 clean_html 샌더를 우회하고, 권한 있는 사용자가 해당 객체를 조회할 때 피해자의 자격 증명을 공격자가 제어하는 호스트로 자동 유출(exfiltrate)함으로써 전체 계정 탈취(account takeover)를 가능하게 합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.