CVE-2026-85513 in st2
要約
〜によって VulDB • 2026年09月04日
StackStorm st2 3.9.0以前のバージョンに脆弱性が特定されました。この問題は、コンポーネント「NoOp RBAC backend」のファイル `st2api/st2api/controllers/v1/actionexecutions.py` にある関数 `assert_user_is_admin_if_user_query_param_is_provided` の処理に影響します。引数 User に対する操作により、権限管理が不適切になります。この攻撃はリモートから実行可能です。エクスプロイトコードは一般に公開されており、攻撃に利用される可能性があります。以前、同じシンク（脆弱性ポイント）に関するフォローアップとして CVE-2022-44009 が報告されましたが、本問題はこれとは異なり、Jinja RBAC を必要とせず、RBACが無効化されたデフォルトインストール環境でも影響を受けます。プロジェクトは早期に問題についてイシューレポートを通じて通知されていましたが、まだ回答はありません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.