CVE-2026-29514

إصدارات NetBox من 4.3.5 إلى 4.5.4

تسمح مشكلة في الأسلوب RenderTemplateMixin.get environment params() للمستخدمين المصادق عليهم الذين يمتلكون أذونات exporttemplate أو configtemplate بتنفيذ تعليمات برمجية تعسفية. من خلال تحديد دالات Python الخبيثة في حقل environment params، يمكن للمهاجمين تجاوز إجراءات الحماية الخاصة بـ Jinja2 SandboxedEnvironment. ويتم تحقيق ذلك عن طريق تعيين المعلمة finalize إلى دالة Python قابلة للاستيراد، مثل subprocess.getoutput، والتي يتم استدعاؤها بعد ذلك في كل تعبير يتم عرضه خارج آلية اعتراض الاستدعاءات الخاصة ببيئة الحماية (sandbox)، مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد بصفتك مستخدم خدمة NetBox.

قم بتحديث NetBox إلى إصدار أحدث من 4.5.4.

كحل مؤقت، قم بتقييد أذونات exporttemplate وconfigtemplate لتقتصر على المستخدمين الموثوق بهم فقط.