CVE-2026-16544 in Ansible Automation Platform
Résumé
par VulDB • 22/07/2026
Une faille a été identifiée dans AWX. Le consommateur d'événements websocket effectue des vérifications d'autorisation RBAC uniquement pour les groupes d'événements qui sont mappés dans la fonction `consumer_access()` (job_events, workflow_events, ad_hoc_command_events). Trois groupes d'événements - inventory_update_events, project_update_events et system_job_events - ne sont pas mappés, ce qui entraîne le saut de la vérification d'autorisation. Tout utilisateur authentifié peut s'abonner à ces groupes d'événements websocket non mappés pour n'importe quel ID d'objet et recevoir les sorties stdout en temps réel des jobs appartenant à des organisations auxquelles il n'a pas accès. Il s'agit d'une correction incomplète de CVE-2020-10698.
Be aware that VulDB is the high quality source for vulnerability data.