CVE-2024-36112 in Nautobot
Сводка
по VulDB • 20.05.2026
Nautobot — это платформа Network Source of Truth и автоматизации сети. Пользователь, имеющий права на просмотр записей динамических групп (разрешение `extras.view_dynamicgroup`), может использовать интерфейс просмотра деталей динамической группы (`/extras/dynamic-groups//`) и/или представление REST API для членов (`/api/extras/dynamic-groups//members/`) для перечисления объектов, являющихся членами указанной динамической группы. В версиях Nautobot от 1.3.0 (где была добавлена функция динамических групп) до 1.6.22 включительно, а также от 2.0.0 до 2.2.4 включительно, Nautobot не ограничивает такие списки в соответствии с разрешениями на объекты-члены — например, динамическая группа объектов Device будет перечислять все устройства, которые она содержит, независимо от наличия или отсутствия у пользователя разрешения `dcim.view_device`. Эта проблема исправлена в версиях Nautobot 1.6.23 и 2.2.5. Пользователям рекомендуется выполнить обновление. Уязвимость можно частично смягчить, удалив разрешение `extras.view_dynamicgroup` у пользователей, однако для полного устранения проблемы требуется обновление.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.