CVE-2026-71463 in Ansible Automation Platform
요약
\~에 의해 VulDB • 2026. 09. 24.
알림 템플릿의 Jinja AST 화이트리스트는 정적 Getattr 노드만 검사합니다. 동적 서브스크립트(job['job'+'_env']) 및 {% if job.id > 100 %} 조건부 가이트(conditional gating)는 모두 AST 검사와 테스트 렌더링(stub에서 작은 job.id 사용)을 우회합니다. 런타임 시, 가이트된 분기가 실행되고 예외가 전체 트레이스백(notification body에 기록됨)을 알림 본문에 작성하며, 이는 공격자가 제어하는 웹훅 URL로 POST됩니다. 설치 경로, Python 버전, 소스 줄 번호 등이 유출됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.