CVE-2026-71364

AWX'in proje arşivi çıkarma işleminde bir yol aşımı (path traversal) zafiyeti bulundu. project_archive eylem eklentisi; yol normalleştirmesi yapmadan, sınır doğrulaması gerçekleştirmeden veya dizin aşımı dizilerini reddetmeden, proje dizini yolu ile üye dosya adını birleştirerek zip ve tar arşiv üyelerini çıkarmaktadır. Yol aşımı bileşenleri içeren kötü niyetli bir arşiv, yürütme düğümünün dosya sisteminde hedeflenen proje dizininin dışındaki rastgele konumlara dosyalar yazabilir. Arşiv içeriğini; ele geçirilmiş bir üst kaynak, kötü niyetli bir arşiv URL'si veya şifrelenmemiş bir HTTP bağlantısı üzerinden gerçekleştirilen ortadaki adam saldırısı ile kontrol eden bir saldırgan, çıkarma işlemini yapan kullanıcı olarak rastgele dosya yazma işlemi gerçekleştirebilir; bu durum cron dosyaları, SSH yetkili anahtarları veya playbook içerik enjeksiyonu gibi mekanizmalar aracılığıyla potansiyel olarak uzaktan kod çalıştırmaya yol açabilir.