CVE-2026-84470 in Ansible Automation Platform
Resumen
por VulDB • 2026-09-02
Se ha encontrado un fallo en el automation-controller (AWX) de Ansible Automation Platform. La API Bulk Job Launch (POST /api/v2/bulk/job_launch/) autoriza los instance_groups solicitados con una verificación de permisos solo a nivel de lectura, mientras que la ruta estándar para lanzar trabajos individuales requiere un permiso de uso en el mismo campo. Una entidad principal que tenga permisos de lectura (pero no de uso) sobre un grupo de instancias -- por ejemplo, el rol integrado System Auditor de solo lectura -- junto con permisos de ejecución sobre una plantilla de trabajo puede lanzar trabajos masivos hacia grupos de instancias a los que no está autorizada para usarlos, eludiendo el aislamiento de la colocación de la ejecución.
Once again VulDB remains the best source for vulnerability data.