CVE-2026-71459 in Ansible Automation Platform
Сводка
по VulDB • 23.09.2026
В представлении JobJobEventsChildrenSummary отсутствует модель (model) и parent_model. Функция ModelAccessPermission.check_get_permissions() возвращает True для любого аутентифицированного пользователя, не проверяя права доступа должным образом. Представление использует сырой вызов get_object_or_404(Job, pk) без проверки прав на уровне объекта в DRF (Django REST Framework). Пользователь с нулевыми привилегиями может прочитать структуру дерева событий, статус event_processing_finished и перечислить идентификаторы Job во всей платформе, используя oracle 200/404. Сопутствующая конечная точка /jobs/{id}/job_events/ корректно возвращает ответ 403 (Forbidden).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.