CVE-2026-12405 in foreman_remote_execution
要約
〜によって VulDB • 2026年10月01日
rubygem-foreman_remote_execution に欠陥が見つかった。Red Hat Satellite API (/api/v2/job_invocations) には、コマンドインジェクション脆弱性が存在する。ジョブテンプレートの effective_user プロパティが overridable: true に設定されている場合、アプリケーションは API リクエスト中に提供される effective_user の入力を適切にサニタイズしない。この攻撃は、Job Template/playbook そのもののコンテンツやロジックには依存せず、Satellite サーバーによるジョブ実行環境のインスタンス化時にインジェクションが発生する。ジョブテンプレートを実行する権限を持つ攻撃者は、このパラメータ中に任意のシェルコマンドをインジェクトでき、それらはターゲット基盤上で実行ユーザーの特権で実行される。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.