CVE-2026-54752— NetBox设备类型库反序列化远程代码执行漏洞
一分钟漏洞结论
影响对象
netbox-community devicetype-library
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
NetBox Device Type Library 是一个为 NetBox 提供社区来源的设备类型定义集合。其验证测试框架可以通过 中 函数里的 对由 Pull Request（PR）控制的被跟踪 pickle 缓存文件进行反序列化。 未认证的贡献者可以修改 中的 ，并在 pytest 运行时向 或 提供经过构造的文件（由 加载）。反序列化过程会触发攻击者控制的对象还原（reduction）行为，从而允许在 GitHub Actions 运行器或运行测试的维护者进程中执行任意代码，导致可达资源的机密性、完整性和可
影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| netbox-community | devicetype-library | < 1c6f7e2b93589b965318c6e67ac3504831f0e71e |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-54752 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
NetBox Device Type Library: Insecure Pickle Deserialization in Test Suite Allows Remote Code Execution via Malicious Pull Request
来源: CVE Program / CVE List V5
Vulnerability Description
NetBox Device Type Library is a collection of community-sourced device type definitions for import into NetBox. The validation test harness can deserialize pull-request-controlled tracked pickle cache files through pickle.load in the read_pickle_data function in tests/pickle_operations.py. An unauthenticated contributor can change USE_LOCAL_KNOWN_SLUGS in tests/test_configuration.py and supply a crafted tests/known-modules.pickle or tests/known-racks.pickle file that tests/definitions_test.py loads when pytest runs. Deserialization invokes attacker-controlled object reduction behavior, allowing arbitrary code execution in the GitHub Actions runner or in a maintainer process that runs the tests, with the confidentiality, integrity, and availability of reachable resources at risk. This vulnerability is fixed with commit 1c6f7e2b93589b965318c6e67ac3504831f0e71e.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
可信数据的反序列化
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| netbox-community | devicetype-library | < 1c6f7e2b93589b965318c6e67ac3504831f0e71e | - |
|
二、漏洞 CVE-2026-54752 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-54752 的情报信息
请登录查看更多情报信息。
CVE-2026-54752 补丁与修复 (2)
CVE-2026-54752 厂商安全公告 (1)
同批安全公告 · netbox-community · 2026-09-17 · 共 3 条
| CVE-2026-54916 | 8.8 HIGH | NetBox设备类型库模块遮蔽RCE及SSRF漏洞 |
| CVE-2026-54918 | 5.3 MEDIUM | NetBox设备类型库 SSRF及测试数据替换漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-54752
暂无评论