Vijay-Raghav7

**Nome do Software Vulnerável e Versões Afetadas** NetBox Device Type Library versões anteriores ao commit f41fc1e **Descrição** O fluxo de trabalho de CI `.github/workflows/validation.yml` executa código de pull requests antes da revisão do mantenedor. Um contribuidor pode modificar os arquivos `requirements.txt`, `.pre-commit-hooks-config.yaml`, `.pre-commit-yamlfmt-config.yaml` ou `.gitmodules` para executar código arbitrário no executor de CI. **Recomendações** Atualize para a versão que contém o commit f41fc1e.

**Nome do Software Vulnerável e Versões Afetadas** NetBox Device Type Library (versões afetadas não especificadas) **Description** O ambiente de testes de validação permite a desserialização de arquivos de cache pickle rastreados através do método `pickle.load` na função `read pickle data()` localizada em tests/pickle operations.py. Um contribuidor não autenticado pode alterar `USE LOCAL KNOWN SLUGS` em tests/test configuration.py e fornecer um arquivo tests/known-modules.pickle ou tests/known-racks.pickle malicioso. Quando o pytest é executado, o arquivo tests/definitions test.py carrega esses arquivos, disparando um comportamento de redução de objeto controlado pelo invasor. Isso permite a execução de código arbitrário no executor do GitHub Actions ou em um processo de mantenedor que execute os testes, colocando em risco a confidencialidade, integridade e disponibilidade dos recursos acessíveis. **Recommendations** Aplique a correção fornecida no commit 1c6f7e2b93589b965318c6e67ac3504831f0e71e.

**Nome do Software Vulnerável e Versões Afetadas** NetBox Device Type Library (versões afetadas não especificadas) **Description** Existe um problema onde a ausência de `tests/init.py` e a falta de `--import-mode=importlib` fazem com que o pytest coloque o diretório de testes no início do `sys.path` durante a coleta. Isso permite que um contribuidor não autenticado realize o sombreamento de módulos (module shadowing) ao adicionar um módulo, como `tests/git.py`, que substitui o GitPython quando `tests/definitions test.py` executa `from git import Git, Repo`, ou ao adicionar `tests/conftest.py` para execução automática. Consequentemente, o Python importa e executa o módulo malicioso antes de qualquer função de teste, permitindo a execução de código arbitrário no executor do GitHub Actions, a adulteração de resultados de testes e o acesso não autorizado a tokens ou recursos de rede expostos ao fluxo de trabalho. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** NetBox Device Type Library (versões afetadas não especificadas) **Descrição** Um autor de pull-request não autenticado pode modificar a constante `NETBOX DT LIBRARY URL` em `tests/test configuration.py` antes da execução do harness de teste de validação. Durante a coleta do pytest, o arquivo `tests/definitions test.py` passa esse valor para as funções `Repo.clone from` e `create remote("upstream").fetch()`. Isso resulta no envio de requisições blind Git smart-HTTP para um host selecionado pelo atacante ou no carregamento de caches de validação `tests/known-*.json` controlados pelo atacante. Embora a requisição não possa definir cabeçalhos arbitrários de serviço de metadados, retornar corpos de resposta ou executar hooks Git remotos, o uso de dados conhecidos substituídos pode permitir a evasão da validação de unicidade de slug, módulo e rack. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.