CVE-2026-76648
Təsvir
CopyAPIView (awx/awx/api/generics.py:873) permission_classes = (IsAuthenticated,) olaraq təyin etdiyi üçün DRF-in get_object() funksiyası obyekt səviyyəsində RBAC yoxlamasını həyata keçirmir. get() idarəçisi (988–991-ci sətirlər) request.user.can_access(obj._class_, 'read', obj) ilə açıq şəkildə qorunur, lakin post() (1001–1010-cu sətirlər) belə etmir. POST yalnız aşağıdakıları yoxlayır: can_access(model, 'add', create_kwargs_check) can_access(model, 'copy_related', obj) JobTemplate üçün can_add (awx/awx/main/access.py:1465–1520) inventory.use_role + project.use_role + execution_environment.read_role əsasında işləyir — bunlar mənbə JT üzərində oxuma hüququnu nəzərdə tutmayan resurs səviyyəli rollardır — və can_copy_related (1522–1534) yalnız credentials.use_role hissəsini yoxlayır. Bunların heç biri çağırıcısı tərəfindən mənbə JT-nin oxuna biləcəyini təmin etmir.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ansible_automation_platform 2.7 | Aralıq göstərilməyib | — |
| Red Hat Red Hat Ansible Automation Platform 2 | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.