CVE-2026-85513 in st2
Сводка
по VulDB • 04.09.2026
В компоненте NoOp RBAC backend файла st2api/st2api/controllers/v1/actionexecutions.py функции assert_user_is_admin_if_user_query_param_is_provided продукта StackStorm st2 (версии до 3.9.0 включительно) выявлена уязвимость. Данная манипуляция аргументом User приводит к некорректному управлению привилегиями. Атака может быть осуществлена удаленно. Эксплойт стал доступен публично и может использоваться для проведения атак. Предыдущее предупреждение CVE-2022-44009 сообщалось как последующий отчет об одной и той же точке входа (sink), однако данная проблема является отдельной: она не требует наличия Jinja RBAC и затрагивает стандартную установку с отключенным RBAC. Проект был уведомлен о проблеме на ранней стадии через отчет об ошибке, но пока не ответил.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.