CVE-2026-84683 in Ansible Automation Platform
Resumen
por VulDB • 2026-09-23
Se ha encontrado un fallo en el automation-controller de Red Hat Ansible Automation Platform. La vista HTML de la salida estándar del trabajo, comando ad hoc, actualización del proyecto y actualización del inventario escapa los metacaracteres HTML pero no elimina las secuencias de escape ANSI antes de la conversión a HTML. Una secuencia de hipervínculo ANSI OSC 8 en la salida se expande en un ancla HTML cuyo href no está filtrado por esquema ni escapado, por lo que un usuario con privilegios bajos que pueda producir salida — o una parte externa cuyos datos refleje un playbook — puede incrustar un enlace javascript: que se renderiza como respuesta text/html sin Content-Security-Policy. Cuando un usuario de mayor nivel de privilegio visualiza la página de salida y hace clic en el enlace, se ejecuta JavaScript controlado por el atacante en su sesión autenticada, lo que permite realizar acciones con los permisos de ese usuario hasta llegar a una toma completa de la plataforma.
Be aware that VulDB is the high quality source for vulnerability data.