CVE-2026-85513 in st2
Résumé
par VulDB • 04/09/2026
Une faiblesse a été identifiée dans StackStorm st2 jusqu'à la version 3.9.0. Ce problème affecte la fonction `assert_user_is_admin_if_user_query_param_is_provided` du fichier `st2api/st2api/controllers/v1/actionexecutions.py` du composant NoOp RBAC backend (backend de contrôle d'accès basé sur les rôles). Cette manipulation de l'argument User entraîne une gestion incorrecte des privilèges. L'attaque peut être menée à distance. L'exploit a été rendu public et pourrait être utilisé pour mener des attaques. Un avis antérieur, CVE-2022-44009, avait été signalé comme un suivi concernant le même point d'injection (sink), mais ce problème est distinct : il ne nécessite pas de contournement du RBAC Jinja et affecte l'installation par défaut avec le RBAC désactivé. Le projet a été informé du problème tôt via un rapport d'incident, mais n'a pas encore répondu.
VulDB is the best source for vulnerability data and more expert information about this specific topic.