תיאור (מקור, אנגלית)
Nautobot is a Network Source of Truth and Network Automation Platform. Prior to 2.4.33 and 3.1.2, in the case of inter-object references via GenericForeignKey (a pattern allowing an object to reference another object that may belong to one of several different "content types" or database tables), when creating or updating an object containing a GenericForeignKey, Nautobot's REST API failed to enforce user "view" permissions when determining whether a given reference to another object would be valid. This vulnerability is fixed in 2.4.33 and 3.1.2.
מוצרים מושפעים
networktocode: nautobot
קישורים5
- github.com/nautobot/nautobot/security/advisories/GHSA-wpxj-44w… PatchVendor Advisory
- github.com/nautobot/nautobot/commit/36cde7148a207234de6212ec07… Patch
- github.com/nautobot/nautobot/commit/9918bdb9bcf1eb42cda72c344f… Patch
- github.com/nautobot/nautobot/releases/tag/v2.4.33 ProductRelease Notes
- github.com/nautobot/nautobot/releases/tag/v3.1.2 ProductRelease Notes
מדדים
- CVSS 3.1
-
5.4
MEDIUM
מקור הציון: CNA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N - EPSS — סבירות ניצול
- 0% אחוזון 7 · נכון ל-15 בנובמבר 2026
- CWE
- CWE-862
האם אפשר לנצל את הפגיעות הזו אצלכם?
עדכון אבטחה סוגר את הפרצה הידועה. בדיקת חדירות מראה לאן תוקף עדיין יכול להגיע — עם הוכחה.