CVE-2026-71463 in Ansible Automation Platform
الملخص
بحسب VulDB • 23/09/2026
قالب الإشعارات Jinja AST whitelist يفحص فقط عقد Getattr الثابتة. يتم تجاوز كل من فحص AST واختبار الإرسال (حيث يكون job.id صغيرًا في النموذج التجريبي) عن طريق الاشتراكات الديناميكية مثل `job['job'+'_env']` والتحكم الشرطي `{% if job.id > 100 %}`. عند وقت التشغيل، يتم تنفيذ الفرع الخاضع للتحكم، وتقوم الاستثناءات بكتابة تتبع كامل (tracebacks) داخل جسم الإشعار، والذي يُرسل عبر POST إلى عنوان URL لـ webhook يتحكم فيه المهاجم. يؤدي ذلك إلى تسرب مسارات التثبيت وإصدار Python وأرقام أسطر المصدر.
If you want to get best quality of vulnerability data, you may have to visit VulDB.