Vulnerabilidad en Nautobot (CVE-2025-49142)

Gravedad CVSS v4.0:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

10/06/2025

Última modificación:

21/08/2025

Descripción

Nautobot es una fuente de confianza en red y una plataforma de automatización de red. Todos los usuarios de versiones de Nautobot anteriores a la 2.4.10 o a la 1.6.32 podrían verse afectados. Debido a una configuración de seguridad insuficiente de la función de plantillas Jinja2, utilizada en campos calculados, enlaces personalizados, etc., en Nautobot, un usuario malintencionado podría configurar este conjunto de funciones de forma que exponga el valor de los secretos definidos en Nautobot al renderizar el contenido de la plantilla, o que invoque las API de Python para modificar datos dentro de Nautobot al renderizar dicho contenido, omitiendo así los permisos de objeto asignados al usuario que lo visualiza. Las versiones 1.6.32 y 2.4.10 de Nautobot incluirán correcciones para esta vulnerabilidad. Esta vulnerabilidad se puede mitigar parcialmente configurando adecuadamente los permisos de objeto para limitar ciertas acciones solo a usuarios de confianza.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:L/VA:N/SC:L/SI:L/SA:L CVSS v4.0 Severidad y Métricas:

Puntuación base: 6.00 MEDIA
Vector: CVSS:4.0/AV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:L/VA:N/SC:L/SI:L/SA:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Bajo
Availability (VA): Ninguno
Confidentiality (SC): Bajo
Integrity (SI): Bajo
Availability (SA): Bajo

Puntuación base 4.0

6.00

Gravedad 4.0

MEDIA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.10 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

7.10

Gravedad 3.x

ALTA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:networktocode:nautobot::::::::		1.6.32 (excluyendo)
cpe:2.3:a:networktocode:nautobot::::::::	2.0.0 (incluyendo)	2.4.10 (excluyendo)

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Vulnerabilidad en Nautobot (CVE-2025-49142)

Descripción

Impacto

Productos y versiones vulnerables

Referencias a soluciones, herramientas e información