CVE-2026-12405

Nome do Software Vulnerável e Versões Afetadas rubygem-foreman remote execution (versões afetadas não especificadas)

Description Uma falha de injeção de comando existe no endpoint da API do Red Hat Satellite '/api/v2/job invocations'. O problema ocorre quando um modelo de trabalho possui a propriedade effective user marcada como overridable: true, pois a aplicação não sanitiza adequadamente a entrada effective user fornecida durante a requisição da API. Isso permite que um invasor com permissões para executar modelos de trabalho injete comandos de shell arbitrários no parâmetro effective user, que são executados na infraestrutura de destino com os privilégios do usuário de execução. A injeção ocorre durante a instanciação do ambiente de execução do trabalho pelo servidor Satellite e é independente da lógica do modelo de trabalho ou playbook.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Evite usar o parâmetro effective user no endpoint da API '/api/v2/job invocations' até que o problema seja resolvido.