CVE-2026-71459
Təsvir
JobJobEventsChildrenSummary görünüşünün model/parent_model parametri yoxdur. ModelAccessPermission.check_get_permissions() funksiyası hər hansı autentifikasiya olunmuş istifadəçi üçün birbaşa keçir (True qaytarır). Görünüş, DRF obyekt səviyyəli icazə yoxlaması olmadan raw get_object_or_404(Job, pk) funksiyasından istifadə edir. Heç bir imtiyazı olmayan istifadəçi hadisə ağacının strukturunu və event_processing_finished statusunu oxuya bilir, həmçinin 200/404 oraklı vasitəsilə bütün platforma üzrə Job ID-lərini sadalayır. Paralel /jobs/{id}/job_events/ son nöqtəsi isə düzgün şəkildə 403 xətasını qaytarır.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ansible_automation_platform 2.5 | Aralıq göstərilməyib | — |
| ansible_automation_platform 2.6 | Aralıq göstərilməyib | — |
| ansible_automation_platform 2.7 | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.