CVE-2026-6266

WysokieCVSS 8.3

Opublikowano: 04/05/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 33 - wyżej niż 33% wszystkich znanych CVE

Streszczenie

W bramie AAP wykryto lukę w strategii automatycznego łączenia tożsamości z zewnętrznego dostawcy tożsamości (IDP) z istniejącym kontem użytkownika na podstawie dopasowania adresu e-mail, bez weryfikacji własności tego adresu. Pozwala to zdalnemu atakującemu na przejęcie konta ofiary lub uzyskanie nieautoryzowanego dostępu do innych kont, w tym administracyjnych, poprzez manipulację adresem e-mail dostarczonym przez IDP.

Ocena ryzyka

Organizacja narażona jest na ryzyko przejęcia kont użytkowników, w tym kont administracyjnych, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych i systemów zarządzanych przez AAP.

Rekomendacja

Należy natychmiast wyłączyć strategię automatycznego łączenia użytkowników (user auto-link) w konfiguracji AAP lub wdrożyć dodatkową weryfikację własności adresu e-mail przed połączeniem tożsamości IDP z kontem.

Inne podatności w AAP Gateway

CVE-2026-18141Wysokie
W komponencie aap-gateway Ansible Automation Platform Event-Driven Ansible (EDA) stwierdzono podatność, która pozwala nieuwierzytelnionemu zdalnemu atakującemu ominąć uwierzytelnianie mTLS dla strumieni zdarzeń. Atakujący może manipulować adresem URL strumienia zdarzeń i sfałszować nagłówek HTTP Subject, a system nieumyślnie ujawnia oczekiwany certyfikat w komunikatach błędów.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in the AAP gateway. The user auto-link strategy, introduced in AAP 2.6, automatically links an external Identity Provider (IDP) identity to an existing AAP user account based on email matching without verifying email ownership. This allows a remote attacker to potentially hijack a victim's account or gain unauthorized access to other accounts, including administrative accounts, by manipulating the IDP-provided email.