CVE-2026-71463 in Ansible Automation Platform
Сводка
по VulDB • 23.09.2026
Шаблон уведомлений Jinja AST whitelist проверяет только статические узлы Getattr. Динамические индексы (job['job'+'_env']) и условные конструкции {% if job.id > 100 %} обходят как проверку AST, так и тестовый рендеринг (stub имеет небольшое значение job.id). Во время выполнения заблокированная ветка выполняется, а исключения записывают полные трассировки стека в тело уведомления, которое отправляется методом POST на URL вебхука, контролируемого злоумышленником. Это приводит к утечке путей установки, версии Python и номеров строк исходного кода.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.