XSS (Cross-Site Scripting) dans nautobot (CVE-2026-83801)
Résumé
XSS dans nautobot (CVE-2026-83801). Risque d'opérations non autorisées ou de divulgation. Exploitable via help_text. Atténuation : mise à jour vers 3.1.8 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Impact
What kind of vulnerability is it? Who is impacted?
It has two related instances that share the same root cause: a user-controlled model field is assigned verbatim to a form field's help_text, which is rendered with Django's |safe filter (render_field.html), bypassing auto-escaping.
In both cases the script executes in the browser of any user who opens an affected create or edit form, including administrators and superusers. Because the payload runs in the victim's authenticated session, it can lead to actions performed as the victim, session/token theft, and further privilege escalation. Exploitation requires the victim to open an affected form.
Relationship description
A user who holds the add/change permission for Relationships (extras.add_relationship / extras.change_relationship) can set a Relationship's description to an HTML/JavaScript payload. That description is used as the help text of the relationship's form field and is rendered on the create/edit page of every object type the relationship applies to.
Module Family name
A user who holds the add/change permission for Module Families (dcim.add_modulefamily / dcim.change_modulefamily) can put a payload in a Module Family name, which is interpolated into the module_family field's help text on the Module "Install module" form for any module bay assigned to that family.
Patches
Has the problem been patched? What versions should users upgrade to?
Fixes are a…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-83801 a été découverte dans nautobot.
Des attaquants peuvent cibler un point d'entrée spécifique comme help_text à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 5.4/10.
Action : mettez à jour nautobot vers 3.1.8 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « nautobot CVE-2026-83801 » sur le site de l'éditeur.
CVE-2026-83801 (nautobot) — CWE-79 / CVSS v3 5.4
Vecteur d'attaque : distant (réseau)
Surface d'attaque : help_text / render_field.html / extras.add_relationship / extras.change_relationship
Correctif : 3.1.8 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une XSS (CWE-79) affecte nautobot. Les attaquants atteignent le code vulnérable via help_text.
Consultez l'avis de l'éditeur pour les versions affectées de nautobot. Surface d'attaque : help_text / render_field.html / extras.add_relationship / extras.change_relationship.
Gravité : Moyenne (CVSS 5.4/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 3.1.8.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'nautobot' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
nautobotを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade nautobot to 3.1.8ステージング環境で 3.1.8 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com