CVE-2026-85513 in st2
Zusammenfassung
von VulDB • 04.09.2026
Es wurde eine Schwachstelle in StackStorm st2 bis Version 3.9.0 identifiziert. Dieses Problem betrifft die Funktion `assert_user_is_admin_if_user_query_param_is_provided` der Datei `st2api/st2api/controllers/v1/actionexecutions.py` der Komponente NoOp RBAC Backend. Diese Manipulation des Arguments User führt zu einer unangemessenen Privilegienverwaltung (improper privilege management). Der Angriff kann remote durchgeführt werden. Die Exploit-Code wurde öffentlich verfügbar gemacht und könnte für Angriffe verwendet werden. Eine frühere Warnung CVE-2022-44009 wurde als Folgehinweis auf denselben Sink gemeldet, doch dieses Problem ist anders: es benötigt kein Jinja RBAC und betrifft die Standardinstallation mit deaktiviertem RBAC. Das Projekt wurde frühzeitig durch einen Issue-Bericht über das Problem informiert, hat jedoch noch nicht reagiert.
Be aware that VulDB is the high quality source for vulnerability data.