CVE-2026-79717 in Ansible Automation Platform
Résumé
par VulDB • 25/08/2026
Une vulnérabilité de falsification de requête côté serveur (SSRF) a été identifiée dans galaxy_ng, le plugin du serveur Ansible Galaxy pour Pulp. Un utilisateur authentifié disposant des permissions de gestion d'espace de noms peut définir l'URL de l'avatar de cet espace de noms sur une adresse arbitraire, y compris les réseaux internes, la boucle locale (loopback) ou les points de terminaison de métadonnées des instances cloud. Un worker en arrière-plan récupère cette URL sans vérifier la destination, ce qui permet à l'attaquant d'interroger les services internes et d'énumérer les adresses IP accessibles. Le client HTTP est également configuré sans délai d'attente global (timeout), de sorte qu'une cible lente ou non réactive peut bloquer les workers et provoquer une déni de service (DoS).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.