Netbox-CVE-2023-37625

Descrizione

Una vulnerabilità di cross-site scripting (XSS) memorizzato in Netbox < 3.4.7 consente agli attaccanti di eseguire script web arbitrari o HTML tramite un payload appositamente creato iniettato nei modelli Custom Link.

Dettagli Tecnici

Una vulnerabilità di Cross-Site Scripting memorizzato è stata scoperta nella funzione custom link dell'applicazione web. Questa vulnerabilità è il risultato di una sanitizzazione insufficiente del campo Link URL.

Per riprodurre questa vulnerabilità, è possibile eseguire i seguenti passaggi:

1. Naviga su Custom Links sotto la scheda Other.
2. Crea un custom link con il seguente valore del campo Link URL e assegna il link a un modello. In questo esempio è stato selezionato 'manufacturer'.

{{'test1"</a><script>alert(1)</script>'}}

3. Aggiungi un nuovo modello, in questo esempio aggiungi un modello 'manufacturer'.

4. Apri il modello appena creato come qualsiasi utente autenticato e osserva che il popup di alert è stato eseguito.