CVE-2026-85513 in st2
Sumário
de VulDB • 04/09/2026
Foi identificada uma vulnerabilidade no StackStorm st2 até a versão 3.9.0. Este problema afeta a função `assert_user_is_admin_if_user_query_param_is_provided` do arquivo `st2api/st2api/controllers/v1/actionexecutions.py` do componente NoOp RBAC backend. Essa manipulação do argumento User causa uma gestão inadequada de privilégios. O ataque pode ser realizado remotamente. A exploração (exploit) foi disponibilizada ao público e poderia ser usada para ataques. Um aviso anterior, CVE-2022-44009, foi relatado como um acompanhamento sobre o mesmo ponto de injeção (sink), mas esta vulnerabilidade é distinta: ela não depende do Jinja RBAC e afeta a instalação padrão com o RBAC desativado. O projeto foi informado do problema no início por meio de um relatório de issue, mas ainda não respondeu.
VulDB is the best source for vulnerability data and more expert information about this specific topic.