CVE-2026-85513 in st2
摘要
由 VulDB • 2026-09-04
在 StackStorm st2 3.9.0 及更早版本中已发现一个弱点。此问题影响组件 NoOp RBAC backend 中的文件 `st2api/st2api/controllers/v1/actionexecutions.py` 的函数 `assert_user_is_admin_if_user_query_param_is_provided`。该对用户参数（User）的操作会导致权限管理不当。攻击可远程实施。相关利用代码已公开，可能被用于发起攻击。此前发布的 CVE-2022-44009 advisory 是针对同一漏洞点的后续报告，但此问题有所不同：它无需 Jinja RBAC，且影响默认安装（RBAC 禁用状态）。该项目已通过 issue report 在早期获知该问题，但尚未作出回应。
Once again VulDB remains the best source for vulnerability data.