Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-44794 medium CVSS 5.4

Vulnérabilité dans nautobot (CVE-2026-44794)

Résumé

Vulnérabilité dans nautobot (CVE-2026-44794). Risque d'opérations non autorisées ou de divulgation. Exploitable via GenericForeignKey. Atténuation : mise à jour vers 2.4.33 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Impact

In the case of inter-object references via GenericForeignKey (a pattern allowing an object to reference another object that may belong to one of several different "content types" or database tables), when creating or updating an object containing a GenericForeignKey, Nautobot's REST API failed to enforce user "view" permissions when determining whether a given reference to another object would be valid.

As a concrete example, a user:

  • who has permission to create or update ImageAttachment records
  • but who lacks permission to view (some or all) Device records
  • but who knows (via some other mechanism) the UUID of a specific Device that they do not otherwise have access to

could create via the REST API an ImageAttachment linked to that specific Device.

Other models that use GenericForeignKey and may be writable via the REST API, and hence have a similar vulnerability to ImageAttachment, may include:

  • ApprovalWorkflow
  • Cable
  • ConfigContext
  • ContactAssociation
  • DataCompliance
  • Device
  • ExportTemplate
  • GraphQLQuery
  • Note
  • ObjectMetadata
  • RelationshipAssociation
  • StaticGroupAssociation
  • VirtualMachine

Additionally, any Nautobot Apps that provide models with a REST API and use GenericForeignKey may have a similar vulnerability for their models.

Patches

A general-purpose fix has been implemented in Nautobot 2.4.33 and 3.1.2, which ensures correct application of "view" permissions when creating or mod…

Source: GitHub Security Advisories (Global) NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-44794 a été découverte dans nautobot.
Des attaquants peuvent cibler un point d'entrée spécifique comme GenericForeignKey à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 5.4/10.
Action : mettez à jour nautobot vers 2.4.33 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « nautobot CVE-2026-44794 » sur le site de l'éditeur.

CVE-2026-44794 (nautobot) — CWE-862 / CVSS v3 5.4
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : GenericForeignKey / ImageAttachment / Device / ApprovalWorkflow
Correctif : 2.4.33 — appliquer immédiatement
Contournement : No known workarounds at this time.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (CWE-862) affecte nautobot. Les attaquants atteignent le code vulnérable via GenericForeignKey.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de nautobot. Surface d'attaque : GenericForeignKey / ImageAttachment / Device / ApprovalWorkflow.

🔥 Gravité

Gravité : Moyenne (CVSS 5.4/10). Risque d'opérations non autorisées ou de divulgation.

🔧 Comment corriger

Mettre à jour vers 2.4.33.

🛡️ Contournement

Contournement : No known workarounds at this time.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'nautobot' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で nautobot を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply temporary workaround mitigate 
    No known workarounds at this time.

    パッチが適用されるまでの応急処置として、No known workarounds at this time. を実施。回避策の副作用 (機能低下) を確認した上で。

  3. 3
    Apply patch patch 
    Upgrade nautobot to 2.4.33

    ステージング環境で 2.4.33 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  4. 4
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

pip nautobot
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"2.4.33"}]}]
PyPI nautobot
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"2.4.33"}]}]

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus