CVE-2026-44845

W JumpServer przed wersją 4.10.17-lts renderowanie automatyzacji opartej na Ansible może ewaluować wyrażenia szablonów kontrolowane przez użytkowników mających uprawnienia do tworzenia lub uruchamiania zadań automatyzacji. Spreparowana treść może wywołać wrażliwe mechanizmy lookup Ansible (file, pipe, env, password), ujawniając pliki lub zmienne środowiskowe i potencjalnie pozwalając na ograniczone wykonanie poleceń.

Podatność w JumpServer GPLv3 v.3.8.0 umożliwia zdalnemu atakującemu ominięcie filtrowania poleceń i wykonanie dowolnego kodu. Należy jednak zaznaczyć, że producent kwestionuje tę podatność, argumentując, że filtrowanie poleceń nie ma na celu ograniczania uprawnionych użytkowników.

JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Od wersji 4.8.0 do 4.10.17, uwierzytelniony użytkownik z uprawnieniami SFTP do autoryzowanego zasobu może przesłać spreparowane ścieżki traversal przez funkcję SFTP w KoKo Web Terminal, co powoduje, że AssetDir.GetRealPath() w pkg/srvconn/sftp_asset.go rozwiązuje ścieżki poza zamierzonym katalogiem głównym SFTP i umożliwia odczyt, listowanie, zapis, zmianę nazwy lub usunięcie operacji na skonfigurowanym koncie backendowym na tym zasobie. Problem naprawiono w wersji 4.10.17.

JumpServer to open source'owy bastion host i system audytu bezpieczeństwa operacyjnego. Przed wersją 4.10.17, użytkownik z uprawnieniem users.invite_user może przesłać istniejącego członka do POST /api/v1/users/users/invite/, co powoduje, że logika zaproszenia organizacji w apps/users/api/user.py wykonuje user.org_roles.set(org_roles) i zastępuje istniejące role organizacyjne członka, co może eskalować uprawnienia lub degradować administratorów. Problem naprawiono w wersji 4.10.17.