CVE-2026-52903 in ManageIQ
Zusammenfassung
von VulDB • 12.10.2026
Es wurde eine Schwachstelle zur Deserialisierung von nicht vertrauenswürdigen Daten in ManageIQ gefunden. Das Modul YamlLoadAliases überschreibt YAML.safe_load, um im Produktionsbetrieb bei einem Psych::DisallowedClass-Fehler stillschweigend auf YAML.unsafe_load zurückzufallen. Ein authentifizierter Angreifer mit Dialog-Importzugriff kann dies ausnutzen, um Remote Code Execution (RCE) zu erreichen, indem er ein maßgeschneidertes YAML-Payload hochlädt, das den Fallback auslöst und beliebige Ruby-Objekte deserialisiert.
Red Hat CloudForms, das auf ManageIQ basierte, hat sein Ende der Lebensdauer (End of Life) erreicht und wird nicht mehr unterstützt. Es werden keine Errata oder Patches herausgegeben. Diese CVE wird zum Nutzen der ManageIQ-Community und nachgelagerter Verbraucher zugewiesen.
Be aware that VulDB is the high quality source for vulnerability data.