CVE-2026-71364

AWX-in layihə arxivinin çıxarılması prosesində yol keçidi (path traversal) zəifliyi aşkar edilmişdir. project_archive hərəkət plagini, zip və tar arxiv üzvlərini layihə kataloqunun yolu ilə üzv faylının adını birləşdirərək çıxarır, lakin bu zaman yolun normallaşdırılmasını həyata keçirmir, sərhəd yoxlamasını aparmır və ya kataloq keçidi ardıcıllıqlarını rədd etmir. Yol keçidi komponentləri olan üzvləri ehtiva edən zərərli arxiv, icra düyünün fayl sistemində nəzərdə tutulmuş layihə kataloqundan kənarda ixtiyari yerlərə faylları yaza bilər. Arxiv məzmununu kompromisə uğramış yuxarı axın mənbəyi, zərərli arxiv URL-i və ya şifrələnməmiş HTTP bağlantısı üzərindən "man-in-the-middle" hücumu vasitəsilə idarə edən hücumçu, çıxarma prosesini yerinə yetirən istifadəçi kimi ixtiyari faylların yazılmasını təmin edə bilər ki, bu da cron faylları, SSH authorized keys və ya playbook məzmununun inyeksiyası kimi mexanizmlər vasitəsilə uzaqdan kodun icrasına gətirib çıxara bilər.