CVE-2026-92893

ŚrednieCVSS 4.3

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Wada w API inwentarza Ansible wtyczki foreman_ansible. Kontroler buduje zapytanie o hosty za pomocą nieobjętego zakresem wywołania Host.where, które nie egzekwuje filtra wyszukiwania powiązanego z uprawnieniem view_hosts wywołującego. Uwierzytelniony użytkownik, którego widoczność hostów jest ograniczona filtrem uprawnień, może podać dowolne identyfikatory hostów w swojej organizacji i otrzymać pełny inwentarz Ansible dla tych hostów, w tym wartości parametrów oznaczone jako ukryte.

Ocena ryzyka

Uwierzytelniony użytkownik może uzyskać dostęp do ukrytych danych konfiguracyjnych hostów, co narusza poufność i może ujawnić wrażliwe informacje.

Rekomendacja

Zaktualizuj wtyczkę foreman_ansible do wersji zawierającej poprawkę. Jeśli nie jest dostępna, ogranicz uprawnienia użytkowników i monitoruj dostęp do API.

Inne podatności w foreman_ansible plugin

CVE-2026-92894Średnie
Wada w API wartości nadpisań Ansible wtyczki foreman_ansible. Akcja usuwania rozwiązuje docelowy rekord LookupValue po ID bez weryfikacji, czy należy on do AnsibleVariable, którą wywołujący jest uprawniony edytować. Uwierzytelniony użytkownik z uprawnieniem edit_ansible_variables może usunąć dowolny LookupValue po ID, w tym wartości nadpisań dla zmiennych Ansible poza zakresem filtra uprawnień oraz wartości nadpisań należące do parametrów klasy inteligentnej Puppet.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in the foreman_ansible plugin's Ansible inventory API. The controller builds its host query using an unscoped Host.where call that does not enforce the search filter associated with the caller's view_hosts permission. An authenticated user whose host visibility is restricted by a permission filter can supply arbitrary host IDs within their organization and receive the full Ansible inventory for those hosts, including parameter values marked as hidden.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS