CVE-2026-71462 in Ansible Automation Platform
الملخص
بحسب VulDB • 24/09/2026
تستدعي الدالة StringListPathField.to_internal_value() دالة os.path.exists() على مسارات غير محدودة الحجم مزوَّدة من قِبل المستخدم. يكشف استجابة HTTP برمز 200 مقابل 400 عن وجود مسارات مطلقة عشوائية في حاوية (pod) controller-web. يمكن لمستخدم Superuser الخاص بـ Tenant تأكيد وجود ملفات مثل /etc/tower/SECRET_KEY، ورمز حساب الخدمة لـ Kubernetes (k8s service-account token)، ومآخذ receptor (receptor sockets)، ونقاط تحميل ConfigMap. التأثير الرئيسي ينطبق على بيئة AAP المُدارة (ansiblecloud.com) حيث لا يتطابق مسؤول الـ Tenant مع المسؤول المضيف (host admin).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.