CVE-2026-12405 in foreman_remote_execution
Resumen
por VulDB • 2026-10-01
Se ha encontrado un fallo en rubygem-foreman_remote_execution. Existe una vulnerabilidad de inyección de comandos en la API de Red Hat Satellite (/api/v2/job_invocations). Cuando una plantilla de trabajo (job template) tiene la propiedad effective_user marcada como overridable: true, la aplicación no sanitiza correctamente la entrada del parámetro effective_user proporcionada durante la solicitud a la API. La explotación no depende del contenido o la lógica de la propia Plantilla de Trabajo/playbook; en su lugar, la inyección ocurre durante la instanciación del entorno de ejecución del trabajo por parte del servidor Satellite. Un atacante con permisos para ejecutar plantillas de trabajo puede inyectar comandos arbitrarios de shell en este parámetro, los cuales se ejecutan en la infraestructura objetivo con los privilegios del usuario de ejecución.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.