CVE-2023-48705
Açıklama
Nautobot, bir web uygulaması olarak oluşturulmuş bir Ağ Doğruluk Kaynağı ve Ağ Otomasyon Platformudur. Nautobot'un 1.6.6 veya 2.0.5 öncesindeki sürümlerini kullanan tüm kullanıcılar potansiyel olarak bir siteler arası betik çalıştırma (XSS) zafiyetinden etkilenmektedir. Özel bağlantılar, iş düğmeleri ve hesaplanmış alanlar dahil olmak üzere belirli türdeki kullanıcı tarafından oluşturulan içerikler işlenirken Django'nun `mark_safe()` API'sinin yanlış kullanımı nedeniyle, bu tür içerikleri oluşturma veya düzenleme yetkisine sahip kullanıcıların, bu içeriği barındıran sayfalar görüntülendiğinde yürütülecek kötü amaçlı bir yük (JavaScript kodu gibi) hazırlamaları mümkündür. Bakımcılar, bu tür kötü amaçlı verilerin yürütülmesini önlemek için `mark_safe()` fonksiyonunun hatalı kullanımlarını düzeltmişlerdir (genellikle bunları uygun `format_html()` kullanımıyla değiştirerek). Nautobot 1.6.x LTM sürümündeki kullanıcılar v1.6.6 sürümüne, Nautobot 2.0.x sürümündeki kullanıcılar ise v2.0.5 sürümüne yükseltme yapmalıdır. Bahsedilen kullanıcı tarafından oluşturulan içerik türlerini oluşturmaya veya düzenlemeye hangi kullanıcıların izinli olduğunu kısıtlamak için uygun nesne izinleri uygulanabilir ve uygulanmalıdır. Bunun dışında, mevcut doğrudan bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
- networktocode nautobot1.6.6, 2.0.5 ya da sonraki bir sürüm
- nautobot1.6.6, 2.0.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| networktocode nautobot | v < 1.6.6, 2.0.0 ≤ v < 2.0.5 | 1.6.6, 2.0.5 |
| nautobotPyPI | v < 1.6.6, 2.0.0 ≤ v < 2.0.5 | 1.6.6, 2.0.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.