CVE-2026-54752
Açıklama
NetBox Device Type Library, NetBox'a aktarılmak üzere topluluk tarafından sağlanan cihaz tipi tanımlamaları koleksiyonudur. Doğrulama test düzeneği, tests/pickle_operations.py dosyasındaki read_pickle_data fonksiyonunda pickle.load aracılığıyla pull-request kontrollü izlenen pickle önbellek dosyalarını serileştirmekten çıkarabilir (deserialize). Kimliği doğrulanmamış bir katkıda bulunan kişi, tests/test_configuration.py içindeki USE_LOCAL_KNOWN_SLUGS değerini değiştirebilir ve pytest çalıştığında tests/definitions_test.py tarafından yüklenen özel olarak hazırlanmış bir tests/known-modules.pickle veya tests/known-racks.pickle dosyası sağlayabilir. Serileştirmeden çıkarma işlemi, saldırgan tarafından kontrol edilen nesne azaltma davranışını tetikleyerek GitHub Actions çalıştırıcısında veya testleri çalıştıran bir bakıcı sürecinde rastgele kod çalıştırılmasına izin verir; bu durum erişilebilir kaynakların gizliliğini, bütünlüğünü ve kullanılabilirliğini riske atar. Bu güvenlik açığı 1c6f7e2b93589b965318c6e67ac3504831f0e71e commit'i ile giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netbox-community devicetype-library | < 1c6f7e2b93589b965318c6e67ac3504831f0e71e | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.