Hoch

XSS potential in rendered Markdown fields (comments, description, notes, etc.)

Veröffentlicht: 23.01.2024
Aktualisiert: 11.10.2026 15:17

Impact

All users of Nautobot versions earlier than 1.6.10 or 2.1.2 are potentially impacted.

Due to inadequate input sanitization, any user-editable fields that support Markdown rendering, including:

Circuit.comments
Cluster.comments
CustomField.description
Device.comments
DeviceRedundancyGroup.comments
DeviceType.comments
Job.description
JobLogEntry.message
Location.comments
Note.note
PowerFeed.comments
Provider.noc_contact
Provider.admin_contact
Provider.comments
ProviderNetwork.comments
Rack.comments
Tenant.comments
VirtualMachine.comments
Contents of any custom fields of type markdown
Job class description attributes
The SUPPORT_MESSAGE system configuration setting

are potentially susceptible to cross-site scripting (XSS) attacks via maliciously crafted data.

Patches

Fixed in Nautobot versions 1.6.10 and 2.1.2.

References

https://github.com/nautobot/nautobot/pull/5133 https://github.com/nautobot/nautobot/pull/5134

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	nautobot	>= 2.0.0, < 2.1.2, < 1.6.10	2.1.2, 1.6.10

Verweise

CVSS-Wert 7.1/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:L/I:H/A:L
Schwäche (CWE): CWE-79
Plattform: Python (PyPI)
Paket: nautobot
Veröffentlicht: 23.01.2024
Aktualisiert: 11.10.2026 15:17

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2024-16 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-v4xv-795h-rv4h - CC BY 4.0

Schwachstellenhistorie: nautobot

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (19) im Archiv

Einträge insgesamt: 19
Erste → letzte: 02.2023 09.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 9
Mittel 6
Niedrig 4

Veröffentlichungen pro Jahr

2023: 5
2024: 5
2025: 2
2026: 7

13.05.2026

Nautobot: GitRepository.current_head field should not be writable through REST API

Hoch · 7.1 CVE-2026-44798 >= 3.0.0a2, < 3.1.2, < 2.4.33 3.1.2, 2.4.33
13.05.2026

Nautobot: Webhook definitions could be used for server-side request forgery (SSRF)

Hoch · 8.5 CVE-2026-44797 >= 3.0.0a2, < 3.1.2, < 2.4.33 3.1.2, 2.4.33
10.06.2025

Nautobot is a Network Source of Truth and Network Automation Platform. All users of Nautobot versions prior to 2.4.10 or prior to 1.6.32 are potentially affected. Due to insufficient security configur

Hoch · 7.1 CVE-2025-49142 < 1.6.32, >= 2.0.0, < 2.4.10 1.6.32, 2.4.10
13.05.2024

Nautobot's BANNER_* configuration can be used to inject arbitrary HTML content into Nautobot pages

Hoch · 7.5 CVE-2024-34707 < 1.6.22, >= 2.0.0, < 2.2.4 1.6.22, 2.2.4
01.05.2024

nautobot has reflected Cross-site Scripting potential in all object list views

Hoch · 7.5 CVE-2024-32979 >= 1.5.0, < 1.6.20, >= 2.0.0, < 2.2.3 1.6.20, 2.2.3
23.01.2024

XSS potential in rendered Markdown fields (comments, description, notes, etc.) dieser Eintrag

Hoch · 7.1 CVE-2024-23345 >= 2.0.0, < 2.1.2, < 1.6.10 2.1.2, 1.6.10
22.11.2023

Cross-site Scripting potential in custom links, job buttons, and computed fields

Hoch · 7.1 CVE-2023-48705 < 1.6.6, >= 2.0.0, < 2.0.5 1.6.6, 2.0.5
24.10.2023

Nautobot vulnerable to exposure of hashed user passwords via REST API

Hoch · 7.7 CVE-2023-46128 >= 2.0.0, < 2.0.3 2.0.3
21.02.2023

Nautobot vulnerable to remote code execution via Jinja2 template rendering

Hoch · 7.5 CVE-2023-25657 < 1.5.7 1.5.7

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden