CVE-2026-85513 in st2
Resumen
por VulDB • 2026-09-04
Se ha identificado una debilidad en StackStorm st2 hasta la versión 3.9.0. Este problema afecta a la función `assert_user_is_admin_if_user_query_param_is_provided` del archivo `st2api/st2api/controllers/v1/actionexecutions.py` del componente NoOp RBAC backend. Esta manipulación del argumento User provoca una gestión inadecuada de los privilegios. El ataque puede llevarse a cabo de forma remota. La exploit ha sido puesta a disposición del público y podría utilizarse para ataques. Se informó previamente sobre la advisory CVE-2022-44009 como un seguimiento al mismo punto de inyección (sink), pero este problema es distinto: no requiere Jinja RBAC y afecta a una instalación predeterminada con RBAC deshabilitado. El proyecto fue informado del problema tempranamente mediante un informe de incidencia, pero aún no ha respondido.
If you want to get best quality of vulnerability data, you may have to visit VulDB.