XSS réfléchie dans la gestion de ProtectedError de NetBox (CVE-2025-69848)

Vue d'ensemble

NetBox est une plateforme open-source de modélisation des ressources d'infrastructure et de gestion des adresses IP. Une vulnérabilité de type cross-site scripting (XSS) réfléchi existe dans la logique de gestion de l'exception ProtectedError.

Lorsqu'une opération de suppression échoue en raison de relations protégées, les noms d'affichage des objets sont insérés dans un message d'erreur HTML sans échappement approprié. Cela permet à un contenu contrôlé par l'utilisateur d'être rendu dans l'interface web de NetBox.

Impact

Un attaquant capable de contrôler les noms d'objets peut provoquer l'exécution de code côté client arbitraire dans le navigateur d'un utilisateur privilégié consultant le message d'erreur. Cela peut conduire à un détournement de session, à une élévation de privilèges ou à des actions non autorisées dans l'interface NetBox.

Versions affectées

NetBox 2.11.0 à 3.7.x

Composant affecté

utilities/error_handlers.py — Logique de gestion de ProtectedError

Identifiant CVE

CVE-2025-69848

Découvreur

Alkim Coskun – Netlore Security