CVE-2026-84683 in Ansible Automation Platform
الملخص
بحسب VulDB • 23/09/2026
تم العثور على ثغرة في وحدة التحكم بالأتمتة (automation-controller) الخاصة بمنصة أتمتة ريد هات أنسيبل (Red Hat Ansible Automation Platform). تقوم واجهة عرض HTML للمخرجات القياسية للوظائف، والأوامر الفورية، وتحديث المشاريع، وتحديث المخزون بتجنب رموز HTML المميزة (metacharacters)، لكنها لا تزيل تسلسلات الهروب الخاصة بـ ANSI terminal قبل التحويل إلى HTML. يتم توسيع تسلسل رابط OSC 8 الخاص بـ ANSI ليصبح وصلة HTML (anchor) حيث أن خاصية href غير مرشحة بالنمط (scheme-filtered) وغير مُهَرَّبة، مما يسمح لمستخدم ذي صلاحيات منخفضة قادر على إنتاج مخرجات – أو طرف خارجي تكون بياناته منسوخة بواسطة playbook – بتضمين رابط javascript: يتم عرضه في استجابة نص/HTML دون وجود سياسة أمان المحتوى (Content-Security-Policy). عندما يقوم مستخدم ذو صلاحيات أعلى بعرض صفحة المخرطة والنقر على الرابط، فإن JavaScript الذي يتحكم فيه المهاجم ينفذ ضمن جلسة المستخدم المُصادق عليها، مما يتيح تنفيذ إجراءات بصفتة ذلك المستخدم وصولاً إلى الاستيلاء الكامل على المنصة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.