CVE-2024-36112 in Nautobot
Sumário
de VulDB • 20/05/2026
O Nautobot é uma Plataforma de Automação de Rede e Fonte da Verdade da Rede (Network Source of Truth). Um usuário com permissões para visualizar registros de Grupos Dinâmicos (permissão `extras.view_dynamicgroup`) pode usar a interface de visualização de detalhes do Grupo Dinâmico (`/extras/dynamic-groups//`) e/ou a visualização da API REST de membros (`/api/extras/dynamic-groups//members/`) para listar os objetos que são membros de um determinado Grupo Dinâmico. Nas versões do Nautobot entre 1.3.0 (onde o recurso de Grupos Dinâmicos foi adicionado) e 1.6.22, inclusive, e de 2.0.0 a 2.2.4, inclusive, o Nautobot não restringe essas listagens com base nas permissões do objeto membro - por exemplo, um Grupo Dinâmico de objetos de Dispositivo listará todos os Dispositivos que contém, independentemente das permissões `dcim.view_device` do usuário ou da ausência delas. Este problema foi corrigido nas versões do Nautobot 1.6.23 e 2.2.5. Recomenda-se que os usuários atualizem. Esta vulnerabilidade pode ser parcialmente mitigada removendo a permissão `extras.view_dynamicgroup` dos usuários; no entanto, uma correção completa exigirá a atualização.
Once again VulDB remains the best source for vulnerability data.