CVE-2026-84683 in Ansible Automation Platform
Résumé
par VulDB • 24/09/2026
Une faille a été détectée dans automation-controller de la plate-forme Red Hat Ansible Automation Platform. La vue HTML de la sortie standard des tâches (jobs), des commandes ad hoc, des mises à jour de projet et des mises à jour d’inventaire échappe les métacaractères HTML mais ne supprime pas les séquences d’échappement ANSI du terminal avant leur conversion en HTML. Une séquence de lien hypertexte ANSI OSC 8 présente dans la sortie est transformée en une ancre HTML dont l’attribut href n’est ni filtré par schéma, ni échappé. Ainsi, un utilisateur à privilèges réduits capable de générer des sorties – ou une partie externe dont les données sont renvoyées par un playbook – peut intégrer un lien javascript: qui est rendu dans une réponse text/html sans politique de sécurité du contenu (Content-Security-Policy). Lorsqu’un utilisateur disposant de privilèges plus élevés consulte la page de sortie et clique sur le lien, un JavaScript contrôlé par l’attaquant s’exécute au sein de sa session authentifiée, permettant d’effectuer des actions en tant quudit utilisateur jusqu’à prendre entièrement le contrôle de la plate-forme.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.