CVE-2026-104073

Nome do Software Vulnerável e Versões Afetadas NetBox versões 2.9.5 até 4.6.x

Descrição Uma injeção de template no lado do servidor ocorre porque o objeto bruto Django HttpRequest é exposto ao contexto do template Jinja2. Um usuário com baixos privilégios que possua a permissão "Can add custom links" pode explorar isso criando um template de link personalizado que incorpora request.COOKIES['sessionid'] ou um token de API em uma URL de src de imagem. Esta técnica ignora o sanitizador clean html, permitindo a exfiltração automática de cookies de sessão e tokens de API de um usuário privilegiado para um host externo quando o objeto é visualizado, o que pode levar ao controle total da conta.

Recomendações Atualize o NetBox para a versão 4.7.0 ou posterior. Restrinja a permissão "Can add custom links" apenas a usuários confiáveis.