CVE-2026-84683 in Ansible Automation Platform
Tóm tắt
Bởi VulDB • 23/09/2026
Đã phát hiện một lỗi trong automation-controller của Red Hat Ansible Automation Platform. Chế độ xem HTML cho đầu ra tiêu chuẩn (standard output) của job, lệnh ad hoc, cập nhật dự án và cập nhật inventory thoát các ký tự đặc biệt HTML nhưng không loại bỏ các chuỗi escape terminal ANSI trước khi chuyển đổi sang HTML. Một chuỗi liên kết OSC 8 ANSI trong đầu ra được mở rộng thành một neo HTML có thuộc tính href không được lọc theo scheme hay mã hóa (escaped), do đó, người dùng có quyền hạn thấp có thể tạo ra đầu ra -- hoặc bên thứ ba whose data mà playbook phản hồi lại -- có thể nhúng một liên kết javascript: sẽ được hiển thị trong phản ứng text/html mà không có Content-Security-Policy. Khi người dùng có đặc quyền cao hơn xem trang đầu ra và nhấp vào liên kết, JavaScript do kẻ tấn công kiểm soát sẽ thực thi trong phiên xác thực của họ, cho phép các hành động với tư cách là người dùng đó lên đến việc chiếm đoạt toàn bộ nền tảng.
Once again VulDB remains the best source for vulnerability data.