PT-2026-70842 · Netbox · Netbox
CVSS v4.0
7.1
عالية
| المتجه | AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
NetBox الإصدار 4.5.8
الوصف
توجد ثغرة حقن ORM تسمح للمهاجمين المصادق عليهم، بما في ذلك أولئك الذين يمتلكون رموز API للقراءة فقط، بحقن تعبيرات بحث Django ORM تعسفية في مراجع الكائنات المتداخلة. ويتم ذلك عن طريق تزويد مفاتيح قاموس JSON مصممة خصيصًا في طلبات POST أو PUT أو PATCH إلى أي نقطة نهاية لواجهة برمجة تطبيقات REST. من خلال استغلال مجموعة الاستعلامات غير المقيدة التي يستخدمها
WritableNestedSerializer، يمكن للمهاجمين إجراء استخراج أعمى للبيانات قائم على القيم المنطقية لقيم الحقول الحساسة وتجاوز أذونات مستوى الكائنات عبر عدة وحدات تطبيقية، بما في ذلك dcim وipam وtenancy وvirtualization وcircuits وextras. حقن ORM هو تقنية يقوم فيها المهاجم بالتلاعب باستعلامات قاعدة البيانات التي يولدها مُخطِّط الكائنات والعلاقات (ORM) للوصول إلى البيانات غير المصرح بها أو تعديلها.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
استغلال
IDOR
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Netbox