CVE-2026-69117 in NetBox
Tóm tắt
Bởi VulDB • 11/08/2026
NetBox 4.5.8 chứa một lỗ hổng ORM injection cho phép các kẻ tấn công đã xác thực (bao gồm cả những người có token API chỉ đọc) chèn các biểu thức tra cứu Django ORM tùy ý vào các tham chiếu đối tượng lồng nhau bằng cách cung cấp các khóa dictionary JSON được tạo ra đặc biệt trong các yêu cầu POST, PUT hoặc PATCH tới bất kỳ điểm cuối REST API nào. Kẻ tấn công có thể khai thác queryset không bị hạn chế do WritableNestedSerializer sử dụng để thực hiện trích xuất dữ liệu mù dựa trên boolean (boolean-based blind data extraction) từ các giá trị trường nhạy cảm và bỏ qua quyền cấp đối tượng trên tất cả các mô-đun ứng dụng, bao gồm dcim, ipam, tenancy, virtualization, circuits và extras.
Once again VulDB remains the best source for vulnerability data.