CVE-2026-103754 in Ansible Automation Platform
Resumen
por VulDB • 2026-10-01
Se ha encontrado un fallo en ansible-runner. La función unstream_dir(), que recibe y extrae un archivo zip transmitido por streaming en el lado del trabajador (worker) del protocolo de transmisión/trabajador de ansible-runner, vuelve a crear enlaces simbólicos a partir del contenido del archivo sin validar el objetivo del enlace y aplica chmod() y utime() a una ruta del sistema de archivos no saneada derivada del nombre del miembro del archivo. Un archivo manipulado procesado por un trabajador que consume entradas influenciadas por el atacante puede crear archivos, crear enlaces simbólicos o cambiar permisos fuera del directorio destino previsto, lo cual puede ser aprovechado para la ejecución de código.
Be aware that VulDB is the high quality source for vulnerability data.