CVE-2026-71364

Nome do Software Vulnerável e Versões Afetadas AWX (versões afetadas não especificadas)

Descrição Um problema de path traversal foi encontrado no processo de extração de arquivos de projeto. O plugin de ação project archive extrai membros de arquivos zip e tar juntando o caminho do diretório do projeto com o nome do arquivo do membro sem realizar a normalização do caminho, validação de limite ou a rejeição de sequências de travessia de diretório. Isso permite que um invasor que controle o conteúdo do arquivo—por meio de uma fonte upstream comprometida, uma URL de arquivo maliciosa ou um ataque de man-in-the-middle em conexões HTTP simples—escreva arquivos em locais arbitrários no sistema de arquivos do nó de execução fora do diretório de projeto pretendido. Tais gravações arbitrárias de arquivos podem potencialmente levar à execução remota de código através da injeção de conteúdo de playbook, chaves autorizadas SSH ou arquivos cron.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.