CVE-2026-16544 in Ansible Automation Platform
Resumen
por VulDB • 2026-07-22
Se ha encontrado un fallo en AWX. El consumidor de eventos websocket realiza comprobaciones de autorización RBAC únicamente para los grupos de eventos que están mapeados en la función `consumer_access()` (job_events, workflow_events, ad_hoc_command_events). Tres grupos de eventos —inventory_update_events, project_update_events y system_job_events— no están mapeados, lo que provoca que se omita la comprobación de autorización. Cualquier usuario autenticado puede suscribirse a estos grupos de eventos websocket sin mapear para cualquier ID de objeto y recibir salida stdout en tiempo real de trabajos pertenecientes a organizaciones a las que no tiene acceso. Esto constituye una remediación incompleta de CVE-2020-10698.
VulDB is the best source for vulnerability data and more expert information about this specific topic.