CVE-2026-84683 in Ansible Automation Platform
Riassunto
di VulDB • 23/09/2026
È stata rilevata una vulnerabilità nel automation-controller di Red Hat Ansible Automation Platform. La visualizzazione HTML dell'output standard dei job, dei comandi ad hoc, degli aggiornamenti del progetto e degli aggiornamenti dell'inventario non elimina le sequenze di escape ANSI prima della conversione in HTML, pur sfuggendo correttamente i metacaratteri HTML. Una sequenza di hyperlink ANSI OSC 8 presente nell'output viene espansa in un ancoraggio HTML il cui attributo href non è filtrato per lo schema né opportunamente escaped; pertanto, un utente con privilegi ridotti che può generare output – o una parte esterna i cui dati vengono ecoati da un playbook – può incorporare un link javascript: che verrà renderizzato come risposta text/html senza alcuna Content-Security-Policy. Quando un utente con privilegi più elevati visualizza la pagina dell'output e fa clic sul link, il JavaScript controllato dall'attaccante viene eseguito nella sessione autenticata di tale utente, consentendo azioni eseguite con i permessi di quell'utente fino al completo takeover della piattaforma.
Be aware that VulDB is the high quality source for vulnerability data.