CVE-2026-54916

NetBox Device Type Library, NetBox'a aktarılmak üzere topluluk tarafından sağlanan cihaz tipi tanımlamaları koleksiyonudur. tests/init.py dosyasının eksikliği ve --import-mode=importlib parametresinin bulunmaması, pytest prepend içe aktarma modunun toplama sırasında tests dizinini sys.path'in başına yerleştirmesine neden olur. Kimliği doğrulanmamış bir katkıda bulunan kişi, tests/definitions_test.py dosyası "from git import Git, Repo" komutunu çalıştırdığında GitPython'ı gölgeleyen tests/git.py gibi bir modül ekleyebilir veya otomatik toplama zamanı yürütmesi için tests/conftest.py ekleyebilir. Python, herhangi bir test fonksiyonundan önce pull-request modülünü içe aktarır ve çalıştırır; bu da GitHub Actions runner üzerinde rastgele kod çalıştırılmasına, test sonuçlarının manipüle edilmesine ve iş akışına açık olan tokenlara veya ağ kaynaklarına erişilmesine olanak tanır. Bu modül gölgeleme yolu, daha önceki pickle serileştirme hatasından ve ayrı olarak takip edilen NETBOX_DT_LIBRARY_URL sorunundan bağımsızdır. Bu güvenlik açığı b0d9a3dadd0a0a9d3c93b0b2777559fd4bad1037 commit'i ile düzeltilmiştir.