CVE-2026-84714

Nome do Software Vulnerável e Versões Afetadas automation-controller (versões afetadas não especificadas)

Description Uma falha de validação de entrada existe na função sanitize jinja(). A função utiliza duas expressões regulares para rejeitar Jinja fornecido pelo usuário, mas esses padrões param no primeiro caractere '}' ou '%' interno. Consequentemente, expressões Jinja contendo chaves internas, como um dicionário vazio, são aceitas. Como a sanitize jinja() é a única proteção para vários campos de tempo de execução—incluindo module args de comandos ad-hoc, username, become method, become user de credenciais de máquina e nomes de hosts de inventário—um usuário com baixos privilégios pode injetar Jinja que é avaliado pelo ansible-core no ambiente de execução. Isso permite a execução de comandos arbitrários, ignorando a lista de permissões do módulo AD HOC COMMANDS, e a divulgação de segredos de credenciais que o invasor não tem permissão para ler, através da criação de templates de variáveis de ambiente injetadas além da fronteira de controle de acesso de credenciais.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.