CVE-2026-44188
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W Ansible Lightspeed stwierdzono podatność związaną z niewystarczającym wygaśnięciem sesji. Zdalny atakujący może utrzymać trwały dostęp do instancji Ansible Lightspeed, jeśli przechwyci ważny token OAuth przed wylogowaniem użytkownika. Aplikacja nie unieważnia tokena po stronie backendu, pozostawiając go ważnym do naturalnego wygaśnięcia.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do wrażliwych danych Ansible, takich jak inwentarze, playbooki i konfiguracje.
Rekomendacja
Zaktualizuj Ansible Lightspeed do wersji zawierającej poprawkę wymuszającą unieważnienie tokenów OAuth po wylogowaniu.
Inne podatności w Ansible Lightspeed
Zobacz wszystkie- CVE-2026-44187Niskie
Rozszerzenie Ansible Lightspeed dla Visual Studio Code przechowuje klucz API Google Gemini w postaci zwykłego tekstu w pliku konfiguracyjnym użytkownika i zapisuje go do plików dziennika. Lokalny atakujący lub złośliwe oprogramowanie działające z uprawnieniami użytkownika może odczytać ten klucz.
- CVE-2026-44190Wysokie
Rozszerzenie Ansible Lightspeed dla Visual Studio Code zawiera podatność na wstrzykiwanie poleceń (CWE-78). Ustawienie `ansible.python.activationScript` nie sprawdza poprawnie ścieżki pliku, co pozwala zdalnemu atakującemu na wykonanie nieautoryzowanych poleceń na systemie użytkownika po otwarciu spreparowanego projektu.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Ansible Lightspeed. This vulnerability, related to insufficient session expiration, allows a remote attacker to maintain persistent access to the Ansible Lightspeed instance. If an attacker exfiltrates a valid OAuth (Open Authorization) access token before a user logs out, they can continue to authenticate and access sensitive data. This is because the application fails to invalidate the token on the backend, leaving it valid until its natural expiration. This can lead to unauthorized read access to Ansible resources such as inventories, playbooks, and configuration data.