🇰🇷 한글 설명
NetBox 2.11.0부터 3.7.x 버전 사이의 ProtectedError 처리 로직에서 반사형 XSS 취약점이 발견되었습니다. 보호된 관계 때문에 삭제 작업이 실패할 때, 적절한 이스케이프 처리 없이 객체 이름이 HTML 에러 메시지에 포함되어 사용자 제어 콘텐츠가 웹 인터페이스에 렌더링될 수 있습니다. 이를 통해 권한이 있는 사용자의 컨텍스트에서 임의의 클라이언트 측 코드가 실행될 수 있습니다.
💡 쉬운 설명
웹사이트의 에러 메시지 창에 악성 코드를 숨겨서 보낼 수 있는 보안 약점입니다. 관리자가 특정 에러를 확인하는 순간, 공격자가 심어놓은 악성 스크립트가 관리자의 브라우저에서 실행될 수 있습니다.
🇺🇸 원문 (English)
NetBox is an open-source infrastructure resource modeling and IP address management platform. A reflected cross-site scripting (XSS) vulnerability exists in versions 2.11.0 through 3.7.x in the ProtectedError handling logic, where object names are included in HTML error messages without proper escaping. This allows user-controlled content to be rendered in the web interface when a delete operation fails due to protected relationships, potentially enabling execution of arbitrary client-side code in the context of a privileged user.
📍 영향받는 시스템
NetBox versions 2.11.0 through 3.7.x
⚔️ 공격 벡터
삭제 작업 실패 시 발생하는 에러 메시지에 악성 스크립트가 포함된 객체 이름을 삽입하여 실행
🛡️ 대응 방법
NetBox를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Version 값이 2.11.0 이상 3.7.x 이하 범위에 해당하면 취약할 가능성이 있습니다.
pip show netbox 2>/dev/null | grep -E 'Name:|Version:'