Zaloguj się
Deutsch English Español Polski
Niska

Nautobot: Management of users via REST API does not apply configured password validators

  • Ujawniono: 31.03.2026
  • Aktualizacja: 11.10.2026 14:17

Impact

In Nautobot versions prior to 2.4.30 or prior to 3.0.10, user creation and editing via the REST API fails to apply the password validation rules defined by Django's AUTH_PASSWORD_VALIDATORS setting (which defaults to an empty list, i.e., no specific rules, but can be configured in Nautobot's nautobot_config.py to apply various rules if desired). This can potentially allow for the creation or modification of users to have passwords that are weak or otherwise do not comply with configured standards.

Management of users via the Nautobot admin UI does correctly enforce configured password validation at this time.

Patches

The issue is resolved in Nautobot versions 2.4.30 and 3.0.10 and later.

Workarounds

Review which users have been granted object permissions to create and modify user accounts as well as having access tokens for the REST API, and restrict access as appropriate.

It may be appropriate furthermore to rotate passwords for any user accounts suspected to have been given weak passwords.

References

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) nautobot < 2.4.30, >= 3.0.0, < 3.0.10 2.4.30, 3.0.10

Odnośniki

Ocena CVSS 2.7/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N
Słabość (CWE)
CWE-521
Platforma
Python (PyPI)
Paczka
nautobot
Ujawniono
31.03.2026
Aktualizacja
11.10.2026 14:17

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-2224 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-xmpv-j7p2-j873 - CC BY 4.0

Historia podatności: nautobot

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (19) w archiwum
Wszystkich wpisów
19
Pierwsza → ostatnia
02.2023 09.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 9
  • Średnia 6
  • Niska 4

Ujawnienia w latach

Istotność:
  1. Nautobot: GitRepository.current_head field should not be writable through REST API
    Wysoka · 7.1 CVE-2026-44798 >= 3.0.0a2, < 3.1.2, < 2.4.33 3.1.2, 2.4.33
  2. Nautobot: Webhook definitions could be used for server-side request forgery (SSRF)
    Wysoka · 8.5 CVE-2026-44797 >= 3.0.0a2, < 3.1.2, < 2.4.33 3.1.2, 2.4.33
  3. Nautobot: Management of users via REST API does not apply configured password validators ten wpis
    Niska · 2.7 CVE-2026-34203 < 2.4.30, >= 3.0.0, < 3.0.10 2.4.30, 3.0.10
  4. Nautobot is a Network Source of Truth and Network Automation Platform. All users of Nautobot versions prior to 2.4.10 or prior to 1.6.32 are potentially affected. Due to insufficient security configur
    Wysoka · 7.1 CVE-2025-49142 < 1.6.32, >= 2.0.0, < 2.4.10 1.6.32, 2.4.10
  5. Nautobot's BANNER_* configuration can be used to inject arbitrary HTML content into Nautobot pages
    Wysoka · 7.5 CVE-2024-34707 < 1.6.22, >= 2.0.0, < 2.2.4 1.6.22, 2.2.4
  6. nautobot has reflected Cross-site Scripting potential in all object list views
    Wysoka · 7.5 CVE-2024-32979 >= 1.5.0, < 1.6.20, >= 2.0.0, < 2.2.3 1.6.20, 2.2.3
  7. XSS potential in rendered Markdown fields (comments, description, notes, etc.)
    Wysoka · 7.1 CVE-2024-23345 >= 2.0.0, < 2.1.2, < 1.6.10 2.1.2, 1.6.10
  8. Cross-site Scripting potential in custom links, job buttons, and computed fields
    Wysoka · 7.1 CVE-2023-48705 < 1.6.6, >= 2.0.0, < 2.0.5 1.6.6, 2.0.5
  9. Nautobot vulnerable to exposure of hashed user passwords via REST API
    Wysoka · 7.7 CVE-2023-46128 >= 2.0.0, < 2.0.3 2.0.3
  10. Nautobot vulnerable to remote code execution via Jinja2 template rendering
    Wysoka · 7.5 CVE-2023-25657 < 1.5.7 1.5.7

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.