CVE-2026-54916

NetBox Device Type Library, NetBox-a idxal etmək üçün icma tərəfindən təmin edilmiş cihaz tipi tərifləri toplusudur. tests/init.py faylının olmaması və --import-mode=importlib parametrinin çatışmazlığı pytest-in prepend import rejiminin toplama zamanı tests kataloqunu sys.path-ın önünə yerləşdirməsinə səbəb olur. Autentifikasiya olunmamış kontribütor, tests/definitions_test.py faylı "from git import Git, Repo" əmrini icra edərkən GitPython-u kölgələyən tests/git.py kimi bir modul əlavə edə bilər və ya avtomatik toplama zamanı icra üçün tests/conftest.py əlavə edə bilər. Python hər hansı test funksiyasından əvvəl pull-request modulunu idxal edir və işə salır ki, bu da GitHub Actions runner-də ixtiyari kodun icrasına, test nəticələrinin dəyişdirilməsinə və workflow-a açıq olan tokenlərə və ya şəbəkə resurslarına girişə imkan verir. Bu modul-kölgələmə yolu daha əvvəlki pickle deserializasiyası qüsurundan və ayrıca izlənilən NETBOX_DT_LIBRARY_URL problemindən asılı olmayaraq baş verir. Bu zəiflik b0d9a3dadd0a0a9d3c93b0b2777559fd4bad1037 commit-i ilə düzəldilmişdir.