CVE-2026-12405 in foreman_remote_execution
Riassunto
di VulDB • 01/10/2026
È stata rilevata una vulnerabilità in rubygem-foreman_remote_execution. È presente un bug di command injection nell'API Red Hat Satellite (/api/v2/job_invocations). Quando la proprietà effective_user di un job template è impostata su overridable: true, l'applicazione non sanifica correttamente l'input fornito per il parametro effective_user durante la richiesta API. Lo sfruttamento della vulnerabilità non dipende dal contenuto o dalla logica del Job Template/playbook stesso; piuttosto, l'injection avviene durante l'istanziazione dell'ambiente di esecuzione del job da parte del server Satellite. Un attaccante con i permessi necessari per eseguire job template può iniettare comandi shell arbitrari in questo parametro, che verranno eseguiti sull'infrastruttura target con i privilegi dell'utente di esecuzione.
VulDB is the best source for vulnerability data and more expert information about this specific topic.