🇰🇷 한글 설명
Nautobot의 특정 버전에서 Django의 mark_safe() API를 잘못 사용하여 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 사용자 정의 링크, 작업 버튼, 계산된 필드와 같이 사용자가 작성한 콘텐츠를 렌더링할 때 악성 자바스크립트가 실행될 수 있습니다.
💡 쉬운 설명
웹사이트의 특정 입력창에 악성 코드를 넣으면, 다른 사용자가 해당 페이지를 볼 때 해커가 의도한 동작이 자동으로 실행될 수 있는 보안 약점입니다. 권한이 있는 사용자가 악의적인 링크나 버튼을 만들 경우 시스템에 영향을 줄 수 있습니다.
🇺🇸 원문 (English)
Nautobot is a Network Source of Truth and Network Automation Platform built as a web application All users of Nautobot versions earlier than 1.6.6 or 2.0.5 are potentially affected by a cross-site scripting vulnerability. Due to incorrect usage of Django's `mark_safe()` API when rendering certain types of user-authored content; including custom links, job buttons, and computed fields; it is possible that users with permission to create or edit these types of content could craft a malicious payload (such as JavaScript code) that would be executed when rendering pages containing this content. The maintainers have fixed the incorrect uses of `mark_safe()` (generally by replacing them with appropriate use of `format_html()` instead) to prevent such malicious data from being executed. Users on Nautobot 1.6.x LTM should upgrade to v1.6.6 and users on Nautobot 2.0.x should upgrade to v2.0.5. Appropriate object permissions can and should be applied to restrict which users are permitted to create or edit the aforementioned types of user-authored content. Other than that, there is no direct workaround available.
📍 영향받는 시스템
Nautobot 1.6.6 미만 버전 및 2.0.5 미만 버전
⚔️ 공격 벡터
사용자 정의 링크, 작업 버튼, 계산된 필드 등에 악성 자바스크립트 페이로드를 삽입하여 실행
🛡️ 대응 방법
Nautobot 1.6.6 또는 2.0.5 이상 버전으로 업그레이드하고 사용자 콘텐츠 생성 권한을 제한
🔧 검증 코드
출력된 버전이 1.6.6 미만이거나 2.0.5 미만이면 취약한 상태입니다.
pip show nautobot | grep Version