CVE-2026-84683
Açıklama
Red Hat Ansible Automation Platform'un automation-controller bileşeninde bir açık bulundu. İş, ad hoc komut, proje güncellemesi ve envanter güncellemesinin standart çıktılarına ait HTML görünümü, HTML meta karakterlerini kaçırır ancak HTML'e dönüştürmeden önce ANSI terminal kaçış dizilerini kaldırmaz. Çıktıdaki bir ANSI OSC 8 hiper bağlantı dizisi, href özniteliği şema bazlı filtrelenmemiş veya kaçırılmamış bir HTML çapasına genişletilir; bu nedenle çıktı üretebilen düşük yetkili bir kullanıcı veya verileri bir playbook tarafından yansıtılan harici bir taraf, Content-Security-Policy içermeyen bir text/html yanıtına işlenen bir javascript: bağlantısı yerleştirebilir. Daha yüksek yetkili bir kullanıcı çıktı sayfasını görüntüleyip bağlantıya tıkladığında, saldırgan tarafından kontrol edilen JavaScript kodu kullanıcının kimliği doğrulanmış oturumunda çalıştırılır ve bu durum, söz konusu kullanıcı adına tam platform ele geçirmeye kadar varan işlemlerin yapılmasına olanak tanır.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ansible_automation_platform 2.5 | Aralık belirtilmemiş | — |
| ansible_automation_platform 2.6 | Aralık belirtilmemiş | — |
| ansible_automation_platform 2.7 | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.