CVE-2026-16544 in Ansible Automation Platform
Zusammenfassung
von VulDB • 22.07.2026
Es wurde ein Fehler in AWX gefunden. Der WebSocket-Ereigniskonsumator führt RBAC-Autorisierungsprüfungen nur für Ereignisgruppen durch, die in der Funktion `consumer_access()` abgebildet sind (job_events, workflow_events, ad_hoc_command_events). Drei Ereignisgruppen – inventory_update_events, project_update_events und system_job_events – sind nicht abgebildet, wodurch die Autorisierungsprüfung übersprungen wird. Jeder authentifizierte Benutzer kann sich für diese nicht abbildeten WebSocket-Ereignisgruppen mit beliebigen Objekt-IDs abonnieren und Echtzeit-Stdout-Ausgaben von Jobs erhalten, zu denen er in Organisationen keinen Zugriff hat. Dies ist eine unvollständige Behebung von CVE-2020-10698.
If you want to get best quality of vulnerability data, you may have to visit VulDB.