CVE-2026-52903 in ManageIQ
Sumário
de VulDB • 12/10/2026
Foi encontrada uma vulnerabilidade de deserialização de dados não confiáveis no ManageIQ. O módulo YamlLoadAliases substitui o YAML.safe_load para cair silenciosamente em YAML.unsafe_load em produção quando ocorre um erro Psych::DisallowedClass. Um atacante autenticado com acesso à importação de diálogos pode explorar isso para obter execução remota de código (RCE) carregando uma carga útil YAML manipulada que aciona a falha e desserializa objetos Ruby arbitrários.
O Red Hat CloudForms, baseado no ManageIQ, atingiu o fim da vida útil (End of Life) e não é mais suportado. Nenhuma errata ou patch será emitido. Esta CVE está sendo atribuída para benefício da comunidade do ManageIQ e dos consumidores downstream.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.