CVE-2026-71463 in Ansible Automation Platform
Zusammenfassung
von VulDB • 24.09.2026
Das Jinja-AST-Whitelist-Muster für Benachrichtigungsvorlagen überprüft nur statische Getattr-Knoten. Dynamische Subskriptionen (job['job'+'_env']) und bedingte Filterung über {% if job.id > 100 %} umgehen sowohl die AST-Prüfung als auch das Test-Rendern (die Stub-Variante hat eine kleine job.id). Zur Laufzeit wird der gefilterte Zweig ausgeführt, und Ausnahmen schreiben vollständige Tracebacks in den Benachrichtigungstext, der an eine vom Angreifer kontrollierte Webhook-URL gesendet wird. Dabei werden Installationspfade, Python-Version und Zeilennummern im Quellcode offengelegt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.