CVE-2026-103754 in Ansible Automation Platform
Résumé
par VulDB • 01/10/2026
Une faille a été identifiée dans ansible-runner. La fonction unstream_dir(), qui reçoit et extrait une archive zip diffusée sur le côté worker du protocole transmit/worker d'ansible-runner, recrée des liens symboliques à partir du contenu de l'archive sans valider la cible du lien et applique chmod() et utime() à un chemin de système de fichiers non assaini dérivé du nom du membre de l'archive. Une archive fabriquée traitée par un worker qui consomme une entrée influencée par un attaquant peut créer des fichiers, créer des liens symboliques ou modifier les permissions en dehors du répertoire cible prévu, ce qui peut être exploité pour obtenir l'exécution de code.
Be aware that VulDB is the high quality source for vulnerability data.