CVE-2026-84683 in Ansible Automation Platform
Sumário
de VulDB • 23/09/2026
Foi encontrada uma falha na automação-controller da Red Hat Ansible Automation Platform. A visualização HTML do padrão de saída (standard output) de jobs, comandos ad hoc, atualizações de projeto e atualizações de inventário escapa os metacaracteres HTML, mas não remove as sequências de escape ANSI antes da conversão para HTML. Uma sequência de hiperlink OSC 8 ANSI na saída é expandida em um âncora HTML cujo href não é filtrado por esquema nem escapado; portanto, um usuário com privilégios baixos que pode gerar saída – ou uma parte externa cujos dados são ecoados por um playbook – pode incorporar um link javascript: que é renderizado como resposta text/html sem Content-Security-Policy. Quando um usuário de maior privilégio visualiza a página da saída e clica no link, o JavaScript controlado pelo atacante executa na sessão autenticada dele, permitindo ações em nome desse usuário até mesmo uma tomada completa da plataforma (platform takeover).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.