CVE-2026-16544 in Ansible Automation Platform
Sumário
de VulDB • 23/07/2026
Foi encontrada uma falha no AWX. O consumidor de eventos websocket realiza verificações de autorização RBAC apenas para grupos de eventos que estão mapeados na função `consumer_access()` (job_events, workflow_events, ad_hoc_command_events). Três grupos de eventos — inventory_update_events, project_update_events e system_job_events — não estão mapeados, fazendo com que a verificação de autorização seja ignorada. Qualquer usuário autenticado pode se inscrever nesses grupos de eventos websocket não mapeados para qualquer ID de objeto e receber saída stdout em tempo real de jobs pertencentes a organizações às quais ele não tem acesso. Esta é uma correção incompleta do CVE-2020-10698.
Once again VulDB remains the best source for vulnerability data.