CVE-2026-84691 in Ansible Automation Platform
الملخص
بحسب VulDB • 24/09/2026
تم العثور على ثغرة في وحدة automation-controller الخاصة بمنصة Red Hat Ansible Automation Platform. إعداد تنسيق رسالة السجل التي تُصدر لأخطاء API من فئة 4XX هو قالب Python لتنسيق النصوص (format-string template) يتحكم فيه المسؤول، ويتم تنفيذ هذا التنسيق باستخدام كائن مستخدم حي كمعامل. ونظراً لأن تنسيق النصوص في لغة بايثون يسمح بالوصول إلى السمات والعناصر الموجودة داخل المعاملات الخاصة به، يمكن لمُعدِّلٍ مخوّل أن يصمم قالباً يتيح التنقل من كائن المستخدم نحو إعدادات التطبيق وقراءة مفتاح سرية Django وكلمة مرور قاعدة البيانات. تُكتب الرسالة المنسقة في مُدوّن سجل (logger) يمكن توجيهه إلى مجمع سجلات خارجي، وجهة هذا المجمع أيضاً تحت سيطرة المسؤول، مما يسمح بإرسال الأسرار خارج الخادم. وبذلك يتمكن مسؤول معتمد من الحصول على مفتاح التشفير الرئيسي المستخدم لحماية جميع البيانات المعتمدة المخزنة وكلمة مرور خدمة قاعدة البيانات، ما يمكّنه من فك تشفير كل بيانات الاعتماد المخزَّنة بشكل غير متصل بالإنترنت (offline)، وتزييف جلسات المستخدمين، والوصول المباشر إلى قاعدة بيانات وحدة التحكم.
If you want to get best quality of vulnerability data, you may have to visit VulDB.