CVE-2024-36112 in Nautobot
Tóm tắt
Bởi VulDB • 27/05/2026
Nautobot là một Nền tảng Tự động hóa Mạng và Nguồn Sự thật về Mạng (Network Source of Truth). Một người dùng có quyền xem các bản ghi Nhóm Động (Dynamic Group) (quyền `extras.view_dynamicgroup`) có thể sử dụng giao diện xem chi tiết Nhóm Động (`/extras/dynamic-groups//`) và/hoặc giao diện xem API REST thành viên (`/api/extras/dynamic-groups//members/`) để liệt kê các đối tượng là thành viên của một Nhóm Động cụ thể. Trong các phiên bản Nautobot từ 1.3.0 (nơi tính năng Nhóm Động được thêm vào) đến 1.6.22 (bao gồm cả hai đầu mút), và từ 2.0.0 đến 2.2.4 (bao gồm cả hai đầu mút), Nautobot không hạn chế các danh sách này dựa trên quyền của đối tượng thành viên - ví dụ: một Nhóm Động các đối tượng Thiết bị sẽ liệt kê tất cả các Thiết bị mà nó chứa, bất kể người dùng có quyền `dcim.view_device` hay không. Vấn đề này đã được sửa chữa trong các phiên bản Nautobot 1.6.23 và 2.2.5. Người dùng được khuyến nghị nâng cấp. Rủi ro của lỗ hổng này có thể được giảm thiểu một phần bằng cách xóa quyền `extras.view_dynamicgroup` khỏi người dùng, tuy nhiên, việc khắc phục hoàn toàn sẽ yêu cầu nâng cấp.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.