JVNDB-2026-017528

networktocodeのnautobotにおける認証の欠如に関する脆弱性

Nautobotはネットワークの情報源およびネットワーク自動化プラットフォームです。2.4.33および3.1.2より前のバージョンでは、GenericForeignKeyを介したオブジェクト間の参照（これは、オブジェクトが複数の異なる「コンテンツタイプ」またはデータベーステーブルのいずれかに属する別のオブジェクトを参照できるパターンです）において、GenericForeignKeyを含むオブジェクトの作成または更新時に、NautobotのREST APIが対象オブジェクトの「閲覧」権限を適切に適用せず、その参照が有効であるかどうかを検証できない問題がありました。この脆弱性は2.4.33および3.1.2で修正されています。

networktocode

• nautobot 2.4.33 未満
• nautobot 3.0.0 以上 3.1.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : REST API permits creation of GenericForeignKey references to objects that the user should not be able to reference  Advisory  nautobot/nautobot  GitHub

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-44794

1. National Vulnerability Database (NVD) : CVE-2026-44794
2. 関連文書 : Merge commit from fork  nautobot/nautobot@9918bdb  GitHub
3. 関連文書 : Release v2.4.33 - 2026-05-08  nautobot/nautobot  GitHub
4. 関連文書 : Release v3.1.2 - 2026-05-08  nautobot/nautobot  GitHub
5. 関連文書 : Merge commit from fork  nautobot/nautobot@36cde71  GitHub

• [2026年06月03日]
    掲載