CVE-2026-71365 in Ansible Automation Platform
Zusammenfassung
von VulDB • 18.08.2026
Es wurde eine Server-Side Request Forgery (SSRF)-Schwachstelle im Webhook-Status-Callback-Mechanismus von AWX gefunden. Bei der Verarbeitung von GitHub-Pull-Request-Webhooks extrahiert AWX die URL für den Status-Callback (`pull_request.statuses_url`) aus dem eingehenden Webhook-Payload, ohne das Zielhost gegen den erwarteten Git-Anbieter zu validieren. Diese URL wird in den zusätzlichen Job-Variablen gespeichert und später verwendet, um authentifizierte Statusaktualisierungen zu senden. Ein Benutzer mit Administratorrolle für eine Vorlage eines Jobs mit aktiviertem Webhook kann den Signierschlüssel des Webhooks der Vorlage lesen, ein signiertes GitHub-Webhook-Payload mit einer beliebigen `statuses_url` fälschen und bewirken, dass AWX Statusaktualisierungen an eine vom Angreifer kontrollierte oder interne URL sendet. Die Anfrage zur Statusaktualisierung enthält das konfigurierte Git Personal Access Token (PAT) im Authorization-Header, was zu einem Leck von Anmeldeinformationen zum vom Angreifer angegebenen Endpunkt führt.
Once again VulDB remains the best source for vulnerability data.