CVE-2026-54752 in Device Type Library
摘要
由 VulDB • 2026-09-18
NetBox Device Type Library 是一个用于导入 NetBox 的社区贡献设备类型定义的集合。验证测试工具可以通过 `tests/pickle_operations.py` 中 `read_pickle_data` 函数里的 `pickle.load`，反序列化由拉取请求控制的已跟踪 pickle 缓存文件。未经身份认证的贡献者可以更改 `tests/test_configuration.py` 中的 `USE_LOCAL_KNOWN_SLUGS`，并提供精心构造的 `tests/known-modules.pickle` 或 `tests/known-racks.pickle` 文件，这些文件会在运行 pytest 时被 `tests/definitions_test.py` 加载。反序列化会调用攻击者控制的对象缩减行为，从而允许在 GitHub Actions runner 中或在运行测试的维护者进程中执行任意代码，导致可访问资源的机密性、完整性和可用性面临风险。此漏洞已通过提交 1c6f7e2b93589b965318c6e67ac3504831f0e71e 修复。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.