NetBox ProtectedError 处理中的反射型 XSS（CVE-2025-69848）

概述

NetBox 是一个开源的基础设施资源建模和 IP 地址管理平台。在 ProtectedError 异常处理逻辑中存在一个反射型跨站脚本（XSS）漏洞。

当删除操作因受保护关系而失败时，对象显示名称会被插入到 HTML 错误消息中，而未经正确转义。这使得用户可控内容能够在 NetBox Web 界面中被渲染。

影响

能够控制对象名称的攻击者可导致任意客户端代码在查看错误消息的特权用户浏览器中执行。这可能导致 NetBox 界面内发生会话劫持、权限提升或未授权操作。

受影响版本

NetBox 2.11.0 至 3.7.x

受影响组件

utilities/error_handlers.py — ProtectedError 处理逻辑

CVE ID

CVE-2025-69848

发现者

Alkim Coskun – Netlore Security