CVE-2026-11332

W ansible-core wykryto lukę. Podczas instalacji kolekcji za pomocą `ansible-galaxy collection install` ekstraktor archiwum waliduje ścieżki elementów za pomocą normalizacji leksykalnej (os.path.abspath) zamiast rozwiązywania dowiązań symbolicznych (os.path.realpath) i nie wykonuje sprawdzenia zawierania dla elementów katalogowych typu symlink przed ich utworzeniem. Spreparowany tarball kolekcji może łańcuchowo łączyć wpisy katalogów symlinków, tak że kolejny element pliku zostanie zapisany poza zamierzonym katalogiem docelowym.

Funkcja RunAdHocCommand.build_args() dołącza parametr limit jako pozycyjny argument (args.append(limit)) zamiast używać args.extend(['-l', limit]) jak w RunJob. Limit rozpoczynający się od myślnika jest interpretowany jako opcja CLI ansible. Obecnie ograniczone do flag krótkiego spięcia (--version, --help), ponieważ wstrzyknięty element wypiera wymagany argument wzorca. Eskalowałoby, gdyby ansible-core kiedykolwiek ustawiło wzorzec jako domyślny.

W ansible-core funkcja _extract_collection_from_git() w concrete_artifact_manager.py konstruuje polecenia git clone bez separatora '--' przed adresami URL dostarczonymi przez użytkownika. Atakujący może dostarczyć złośliwy URI źródła kolekcji zawierający wstrzyknięcie argumentów git, co prowadzi do wykonania dowolnego polecenia podczas instalacji kolekcji.

W Ansible-Core wykryto podatność umożliwiającą ominięcie zabezpieczeń przed niebezpieczną treścią. Atakujący może wykorzystać obiekt hostvars do odwoływania się i wykonywania treści szablonów, co prowadzi do zdalnego wykonania kodu.