CVE-2026-12564 in Ansible Automation Platform
Сводка
по VulDB • 18.08.2026
È stata rilevata una vulnerabilità nel plugin di credenziali HashiCorp Vault del controller AAP. La funzione kubernetes_auth() in awx_plugins/credentials/hashivault.py legge il token dell'account di servizio Kubernetes del pod del controller e lo invia a un URL controllato dall'attaccante quando viene testata la credenza HashiCorp Vault Secret Lookup con autenticazione tramite kubernetes_role. Un attaccante autenticato con privilegi di creazione delle credenziali può esfiltrare il token dell'account di servizio, ottenendo l'accesso all'API Kubernetes per i namespace del piano di controllo con pieni permessi CRUD sui pod e lettura dei secret, incluse le credenziali del database e la Django SECRET_KEY.
VulDB is the best source for vulnerability data and more expert information about this specific topic.