CVE-2026-104126
ŚrednieCVSS 6.0Streszczenie
W JumpServer przed wersją 4.10.17-lts renderowanie automatyzacji opartej na Ansible może ewaluować wyrażenia szablonów kontrolowane przez użytkowników mających uprawnienia do tworzenia lub uruchamiania zadań automatyzacji. Spreparowana treść może wywołać wrażliwe mechanizmy lookup Ansible (file, pipe, env, password), ujawniając pliki lub zmienne środowiskowe i potencjalnie pozwalając na ograniczone wykonanie poleceń.
Ocena ryzyka
Uwierzytelniony użytkownik z uprawnieniami do automatyzacji może ujawnić pliki lub zmienne środowiskowe, a w niektórych przypadkach wykonać ograniczone polecenia w kontekście procesu automatyzacji.
Rekomendacja
Zaktualizuj JumpServer do wersji 4.10.17-lts lub nowszej oraz ogranicz uprawnienia do tworzenia i uruchamiania zadań automatyzacji.
Inne podatności w JumpServer
Zobacz wszystkie- CVE-2023-48193Krytyczne
Podatność w JumpServer GPLv3 v.3.8.0 umożliwia zdalnemu atakującemu ominięcie filtrowania poleceń i wykonanie dowolnego kodu. Należy jednak zaznaczyć, że producent kwestionuje tę podatność, argumentując, że filtrowanie poleceń nie ma na celu ograniczania uprawnionych użytkowników.
- CVE-2026-54336Średnie
JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Od wersji 4.8.0 do 4.10.17, uwierzytelniony użytkownik z uprawnieniami SFTP do autoryzowanego zasobu może przesłać spreparowane ścieżki traversal przez funkcję SFTP w KoKo Web Terminal, co powoduje, że AssetDir.GetRealPath() w pkg/srvconn/sftp_asset.go rozwiązuje ścieżki poza zamierzonym katalogiem głównym SFTP i umożliwia odczyt, listowanie, zapis, zmianę nazwy lub usunięcie operacji na skonfigurowanym koncie backendowym na tym zasobie. Problem naprawiono w wersji 4.10.17.
- CVE-2026-44846Średnie
JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Przed wersją 4.10.17, użytkownik z uprawnieniem users.invite_user może przesłać istniejącego członka do POST /api/v1/users/users/invite/, co powoduje, że logika zaproszenia organizacji w apps/users/api/user.py wykonuje user.org_roles.set(org_roles) i zastępuje istniejące role organizacyjne członka, co może eskalować uprawnienia lub degradować administratorów. Problem naprawiono w wersji 4.10.17.
- CVE-2026-44845Średnie
JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Przed wersją 4.10.17, uwierzytelniony administrator z uprawnieniami zarządzania i wdrażania Applet Host może wstrzyknąć wyrażenia Jinja2 do pola IP/Host lub pola adresu usługi Core, co powoduje, że Ansible ocenia dane inventory ansible_host lub zmienne playbooka podczas wdrażania Applet Host i wykonuje dowolne polecenia na węźle kontrolnym JumpServer. Problem naprawiono w wersji 4.10.17.
Oryginalny opis (angielski, źródło NVD)
JumpServer is an open source bastion host and an operation and maintenance security audit system. Prior to 4.10.17-lts, JumpServer's Ansible-based automation rendering can evaluate attacker-controlled template expressions from users who have permission to create or execute affected automation tasks. Crafted content can invoke sensitive Ansible lookup behavior, including file, pipe, env, and password lookups, within the Ansible execution context, which can disclose files or environment values and may permit limited command execution under the privileges of the automation process. The issue does not provide unauthenticated access or direct access to unrelated JumpServer assets. This issue is fixed in version 4.10.17-lts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS