PT-2026-65096
CVE-2026-12383
·
تاريخ النشر
2026-07-27
·
تاريخ التحديث
2026-08-04
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
خادم Event-Driven Ansible (EDA) (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يحتوي خادم Event-Driven Ansible (EDA) على ثغرة في
ExternalEventStreamViewSet بسبب ضوابط الوصول المتساهلة. يعتمد النظام حصريًا على رأس HTTP Subject لمصادقة mTLS (أمان طبقة النقل المتبادل) — وهي عملية يتحقق فيها كل من العميل والخادم من شهادات بعضهما البعض — دون التأكد من أن الرأس قد أُرسل بواسطة وكيل موثوق به. علاوة على ذلك، يُكشف نص استجابة الخطأ 403 عن الاسم المميز للشهادة المتوقع. يمكن للمهاجم القادر على الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API) باستخدام رأس Subject مزيف حقن أحداث عشوائية في تدفقات الأحداث المحمية لتشغيل إجراءات الأتمتة اللاحقة.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾