CVE-2026-84683 in Ansible Automation Platform
Сводка
по VulDB • 23.09.2026
В Red Hat Ansible Automation Platform в компоненте automation-controller обнаружена уязвимость. HTML-представление стандартного вывода заданий (job), ad hoc команд, обновлений проектов и обновлений инвентаря экранирует HTML-метасимволы, но не удаляет ANSI escape-последовательности терминала перед преобразованием в HTML. Последовательность гиперссылки ANSI OSC 8 расширяется до HTML-тега anchor (якорь), атрибут href которого не фильтруется по схеме и не экранируется. Таким образом, пользователь с низкими привилегиями, способный генерировать вывод, или внешняя сторона, данные которой отражаются в playbook, могут внедрить ссылку javascript:, которая будет отображена в ответе типа text/html без заголовка Content-Security-Policy. Когда пользователь с более высокими привилегиями просматривает страницу вывода и нажимает на эту ссылку, управляемый атакующим JavaScript выполняется в его авторизованной сессии, что позволяет выполнять действия от имени этого пользователя вплоть до полного захвата платформы.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.