CVE-2026-12726
Təsvir
AWX GitHub webhook inteqrasiyasında çatışmazlıq aşkar edilmişdir. GitHub pull_request vebhuklarını emal edərkən kontroller, vebhuk yükündəki pull_request.statuses_url dəyərinin etibarlı GitHub API son nöqtəsinə yönləndirildiyini yoxlamadan onu saxlayır. Əgər iş şablonu (job template) vebhuk etibarnaməsi kimi GitHub Personal Access Token ilə konfiqurasiya edilibsə, kontroller daha sonra iş statusu yeniləmələrini göndərərkən həmin tokeni saxlanılmış geri çağırma (callback) URL-nə POST sorğusu ilə ötürür. İş şablonunun webhook_key-indən istifadə edərək düzgün imzalanmış saxta vebhuku təqdim edə bilən hücumçu, geri çağırmanı özünün nəzarətində olan URL-yə yönləndirə və konfiqurasiya edilmiş GitHub PAT-ı ələ keçirə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Red Hat Red Hat Ansible Automation Platform 2 | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.