CVE-2026-84502

Nome do Software Vulnerável e Versões Afetadas Red Hat Ansible Automation Platform automation-controller (versões afetadas não especificadas)

Description Uma falha de injeção de argumento existe no automation-controller, onde o campo scm url do Projeto não é validado contra valores que iniciam com um hífen. Este valor é passado integralmente para o módulo SCM git, que executa o comando git ls-remote sem um separador --. Consequentemente, uma URL manipulada iniciando com --upload-pack pode ser interpretada como uma opção em vez de uma URL de repositório, permitindo que um usuário autenticado com permissões para criar ou modificar um projeto em uma única organização execute comandos arbitrários no pod de tarefa do plano de controle. A saída desses comandos é refletida através do endpoint de stdout de atualização de projeto, podendo levar ao comprometimento entre locatários e movimentação lateral dentro do cluster.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.