CVE-2026-71459 in Ansible Automation Platform
要約
〜によって VulDB • 2026年09月23日
JobJobEventsChildrenSummary ビューには model/parent_model が設定されていません。ModelAccessPermission.check_get_permissions() は、認証済みユーザーに対して常に True を返す（フォールスルーする）ため、DRF のオブジェクトレベルの権限チェックが行われません。このビューは raw な get_object_or_404(Job, pk) を使用しており、特権のないユーザーが 200/404 オラクルを通じてプラットフォーム全体のイベントツリー構造、event_processing_finished ステータス、および Job ID を列挙することができます。対照的に、兄弟エンドポイント /jobs/{id}/job_events/ は正しく 403 エラーを返します。
Once again VulDB remains the best source for vulnerability data.