CVE-2026-104710

W Red Hat Ansible Automation Platform (automation-controller) znaleziono błąd. Pytania ankiety typu hasło są tylko do zapisu i przechowywane w formie zaszyfrowanej, wyświetlane jako placeholder przy odczycie. Gdy harmonogram lub węzeł szablonu zadania jest ponownie walidowany względem zaostrzonej specyfikacji ankiety, kontroler deszyfruje zapisane hasło i umieszcza jego jawną wartość w komunikacie błędu walidacji długości minimalnej/maksymalnej zwracanym w odpowiedzi HTTP. Użytkownik z delegowaną rolą JobTemplate Admin może zaostrzyć ograniczenie długości ankiety i wywołać ponowną walidację harmonogramu lub węzła utworzonego przez innego użytkownika z wyższymi uprawnieniami, odzyskując w ten sposób jawne hasło tego użytkownika.

W Red Hat Ansible Automation Platform (automation-controller) cztery widoki debugowe wyzwalające wewnętrzne schedulery zadań, zależności i workflow są dostępne dla dowolnego użytkownika, w tym niezalogowanego, ponieważ ich routing nie jest ograniczony ustawieniem debug. Nieuwierzytelniony zdalny atakujący może wielokrotnie wywoływać te endpointy, przejmując ogólnoklastrową blokadę schedulera, co powoduje pomijanie rzeczywistych uruchomień i wstrzymanie dyspozycji zadań dla wszystkich tenantów oraz zużycie workerów webowych.