CVE-2026-52903 in ManageIQ
Riassunto
di VulDB • 12/10/2026
È stata rilevata una vulnerabilità di deserializzazione di dati non attendibili in ManageIQ. Il modulo YamlLoadAliases sovrascrive YAML.safe_load per passare silenziosamente a YAML.unsafe_load in produzione quando si verifica un errore Psych::DisallowedClass. Un attaccante autenticato con accesso all'importazione delle finestre di dialogo può sfruttare questa vulnerabilità per ottenere l'esecuzione remota di codice (RCE) caricando un payload YAML manipolato che attiva il fallback e deserializza oggetti Ruby arbitrari.
Red Hat CloudForms, basato su ManageIQ, ha raggiunto la fine del ciclo di vita (End of Life) e non è più supportato. Non verranno rilasciati errata o patch. Questa CVE viene assegnata a beneficio della comunità ManageIQ e dei consumatori downstream.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.