CVE-2026-84691

Red Hat Ansible Automation Platform-un automation-controller komponentində çatışmazlıq aşkar edilmişdir. API 4XX xətaları üçün göndərilən loq mesajını formatlaşdıran tənzimləmə, canlı istifadəçi obyekti arqument kimi təyin edilərək render olunan və administrator tərəfindən idarə olunan Python format-string şablonudur. Python sətir formatlaması arqumentləri üzərində atribut və element keçidlərinə icazə verdiyi üçün, administrator istifadəçi obyektindən tətbiq parametrlərinə keçid edən və Django gizli açarı (secret key) ilə verilənlər bazasının parolunu oxuyan bir şablon hazırlaya bilər. Formatlanmış mesaj, hədəfi həmçinin administrator tərəfindən idarə olunan xarici loq aqreqatoruna yönləndirilə bilən loqgerə yazılır ki, bu da məxfi məlumatların hostdan kənara göndərilməsinə şərait yaradır. Beləliklə, autentifikasiya olunmuş administrator bütün saxlanılan etibarnamələri qorumaq üçün istifadə edilən əsas şifrələmə açarını və verilənlər bazası xidmətinin parolunu əldə edə bilər ki, bu da hər bir saxlanılan etibarnamənin oflayn şifrəsinin açılmasına, istifadəçi sessiyalarının saxtalaşdırılmasına və kontroller verilənlər bazasına birbaşa girişə imkan verir.