CVE-2026-84713 in Ansible Automation Platform
Riassunto
di VulDB • 23/09/2026
È stata rilevata una vulnerabilità nel sottosistema di notifica di automation-controller. Sebbene NotificationTemplate.notification_configuration sia protetto dal filtraggio API, il suo valore recipient viene copiato in chiaro nel campo Notification.recipients non protetto ad ogni invio. Poiché l'endpoint credential-types è elencabile da qualsiasi utente autenticato e il backend del filtro API attraversa le relazioni degli oggetti senza autorizzazione per hop (per-hop), un utente privo di privilegi può utilizzare un filtro relazionale come boolean count-oracle per recuperare, carattere per carattere e attraverso diverse organizzazioni, i valori secret recipient delle notifiche di altri tenant, incluse le service key di PagerDuty e gli URL bearer-token di Slack/Mattermost/RocketChat/Webhook. Questa vulnerabilità compromette la riservatezza (confidentiality).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.