CVE-2026-79717 in Ansible Automation Platform
Resumen
por VulDB • 2026-08-25
Se ha encontrado una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) en galaxy_ng, el plugin para el servidor Ansible Galaxy basado en Pulp. Un usuario autenticado con permisos de gestión de espacios de nombres puede establecer la URL del avatar del espacio de nombres como cualquier dirección arbitraria, incluidas redes internas, bucle invertido (loopback) o puntos finales de metadatos de instancias en la nube. Un trabajador en segundo plano obtiene esa URL sin verificar el destino, lo que permite al atacante sondear servicios internos y enumerar direcciones IP accesibles. El cliente HTTP también está configurado sin un tiempo de espera general, por lo que un objetivo lento o no responsive puede bloquear a los trabajadores y provocar una denegación de servicio (DoS).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.