Nautobot 在渲染的 Markdown 字段中存在 XSS 潜力 (CVE-2024-23345)

CVE编号

CVE-2024-23345

利用情况

暂无

补丁情况

N/A

披露时间

2024-01-23

漏洞描述

Nautobot是一个作为Web应用程序构建的网络真相源和网络自动化平台。受影响的Nautobot版本1.6.10或2.1.2之前的所有用户都可能受到跨站脚本漏洞的影响。由于输入不足的消毒处理，支持Markdown渲染的任何可由用户编辑的字段都有可能受到通过恶意制作的数据进行的跨站脚本（XSS）攻击的威胁。该问题在Nautobot版本1.6.10和2.1.2中得到修复。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/nautobot/nautobot/commit/17effcbe84a72150c82b138565c311bbee357e80
https://github.com/nautobot/nautobot/commit/64312a4297b5ca49b6cdedf477e41e8e4fd61cce
https://github.com/nautobot/nautobot/pull/5133
https://github.com/nautobot/nautobot/pull/5134
https://github.com/nautobot/nautobot/security/advisories/GHSA-v4xv-795h-rv4h

CVSS3评分 7.1

• 攻击路径 网络
• 攻击复杂度 高
• 权限要求 低
• 影响范围 已更改
• 用户交互 需要
• 可用性 低
• 保密性 低
• 完整性 高

CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:L/I:H/A:L

CWE-ID	漏洞类型
CWE-79	在Web页面生成时对输入的转义处理不恰当（跨站脚本）

Exp相关链接

- avd.aliyun.com