CVE-2026-84713 in Ansible Automation Platform
Zusammenfassung
von VulDB • 24.09.2026
Es wurde ein Fehler im Benachrichtigungssystem von automation-controller festgestellt. Obwohl NotificationTemplate.notification_configuration vor API-Filterung geschützt ist, wird sein recipient-Wert bei jeder Sendung als Klartext in das ungeschützte Feld Notification.recipients kopiert. Da der Endpunkt credential-types für jeden authentifizierten Benutzer auflistbar ist und das API-Filter-Hintergrundmodul Objektbeziehungen ohne autorisierungsbezogene Prüfung pro Schritt durchläuft, kann ein Benutzer ohne Berechtigungen einen relationalen Filter als booleschen Zählerorakel nutzen, um die geheimen recipient-Werte der Benachrichtigungen anderer Mandanten zeichenweise und organisationsübergreifend wiederherzustellen – einschließlich PagerDuty-Service-Schlüsseln sowie Slack/Mattermost/RocketChat/Webhook-Bearer-Token-URLs. Dieser Fehler beeinträchtigt die Vertraulichkeit.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.