CVE-2026-11807
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W API WebSocket Event-Driven Ansible (EDA) brakuje autoryzacji dla punktu końcowego /api/eda/ws/ansible-rulebook. Uwierzytelniony użytkownik może wysłać sfałszowaną wiadomość z dowolnym activation_id, aby uzyskać poświadczenia w postaci jawnego tekstu, w tym tokeny OAuth, hasła do sejfów i klucze SSH.
Ocena ryzyka
Ryzyko polega na wycieku wrażliwych poświadczeń, co może prowadzić do nieautoryzowanego dostępu do systemów zarządzanych przez Ansible oraz eskalacji uprawnień w środowisku IT.
Rekomendacja
Należy natychmiast zaktualizować Event-Driven Ansible do wersji zawierającej poprawkę oraz wdrożyć mechanizmy autoryzacji dla wszystkich endpointów WebSocket.
Oryginalny opis (angielski, źródło NVD)
A missing authorization vulnerability was found in the Event-Driven Ansible (EDA) websocket API. The /api/eda/ws/ansible-rulebook endpoint does not verify user permissions when processing Worker messages. Any authenticated user can send a forged message with an arbitrary activation_id to receive plaintext credentials associated with that activation, including OAuth tokens, vault passwords, and SSH keys.