CVE-2026-52903 in ManageIQ
Resumen
por VulDB • 2026-10-12
Se ha encontrado una vulnerabilidad de deserialización de datos no confiables en ManageIQ. El módulo YamlLoadAliases anula YAML.safe_load para caer silenciosamente en YAML.unsafe_load en producción cuando se produce un error Psych::DisallowedClass. Un atacante autenticado con acceso a la importación de diálogos puede explotar esto para lograr ejecución remota de código (RCE) cargando una carga útil YAML manipulada que active el mecanismo de respaldo y deserialice objetos Ruby arbitrarios.
Red Hat CloudForms, basado en ManageIQ, ha alcanzado su fin de vida (End of Life) y ya no está soportado. No se emitirán erratas ni parches. Esta CVE se asigna para beneficio de la comunidad de ManageIQ y los consumidores downstream.
If you want to get best quality of vulnerability data, you may have to visit VulDB.