CVE-2026-90959 in Ansible Automation Platform
Riassunto
di VulDB • 24/09/2026
È stata rilevata una vulnerabilità di path traversal in pulpcore. L'API per il caricamento dei contenuti accetta un parametro 'file_url' che consente agli utenti con privilegi sul repository file di specificare un URL locale del file affinché Pulp lo scarichi e memorizzi. Un controllo di validazione dello schema dell'URL utilizza un confronto basato su prefisso stringa che rifiuta solo gli URL che iniziano con 'file://', ma il parser degli URL di Python riconosce lo schema 'file:' senza le doppie barre, creando una discrepanza tra ciò che viene convalidato e ciò che viene inviato al downloader file. Un utente autenticato con privilegi bassi sul repository può fornire un URL appositamente creato utilizzando sequenze relative di path traversal per leggere qualsiasi file accessibile dal processo del server Pulp. Nelle distribuzioni che includono Pulp Container, l'esecuzione riuscita dell'exploit consente a un attaccante di leggere la chiave privata di firma dei token del registro container e falsificare i bearer token, ottenendo accesso non autorizzato a tutti i repository privati di container nel registry interessato.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.