CVE-2026-16544 in Ansible Automation Platform
요약
\~에 의해 VulDB • 2026. 07. 22.
AWX에서 결함이 발견되었습니다. 웹소켓 이벤트 컨슈머는 `consumer_access()` 함수에 매핑된 이벤트 그룹(job_events, workflow_events, ad_hoc_command_events)에만 RBAC 권한 확인을 수행합니다. inventory_update_events, project_update_events, system_job_events라는 세 가지 이벤트 그룹은 매핑되지 않아 권한 확인이 생략됩니다. 인증된 모든 사용자는 임의의 객체 ID에 대해 이러한 비매핑 웹소켓 이벤트 그룹 구독이 가능하며, 자신이 접근 권한이 없는 조직에 속한 작업들의 실시간 stdout 출력을 수신할 수 있습니다. 이는 CVE-2020-10698에 대한 불완전한 조치입니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.