CVE-2026-83801

Nautobot Şəbəkə Həqiqət Mənbəyi və Şəbəkə Avtomatlaşdırılması platformasıdır. 2.4.37 və 3.1.8 versiyalarından əvvəl, extras.add_relationship və ya extras.change_relationship icazəsi olan istifadəçi Relationship təsvirində HTML və ya JavaScript saxlaya bilər, dcim.add_modulefamily və ya dcim.change_modulefamily icazəsi olan istifadəçi isə bunu Module Family adında saxlaya bilər. Nautobot bu dəyərləri Django-nun |safe filtri vasitəsilə render_field.html tərəfindən render edilən form sahəsinin help_text hissəsinə kifayət qədər neytrallaşdırma aparmadan təyin edir. Saxlanılan məzmun, təsirə məruz qalmış yaratma və ya redaktə formasını açan hər hansı bir istifadəçinin, o cümlədən administratorun və ya superistifadəçinin autentifikasiya olunmuş brauzer sessiyasında icra edilir. Bu, qurban adına hərəkətlərin yerinə yetirilməsinə, sessiya və ya token oğurluğuna və daha sonra imtiyazların yüksəldilməsinə şərait yarada bilər. Bu problem 2.4.37 və 3.1.8 versiyalarında düzəldilmişdir.