FICHE CVE

CVE-2026-6266

Publiée le 2026-05-04 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les passerelles d'Ansible Automation Platform (AAP) sont affectées par une faille dans la manière dont elles lient les comptes de fournisseurs d'identité externes aux utilisateurs locaux. Un attaquant disposant d'un compte basique chez un fournisseur d'identité connecté peut usurper le compte de n'importe quel autre utilisateur — y compris ceux des administrateurs — simplement en modifiant son adresse e-mail IDP pour qu'elle corresponde à celle de la victime. Cette attaque peut être réalisée à distance via le réseau et ne nécessite aucune interaction de la part de la victime.

CVSS 3.18.3 ÉLEVÉE

Type de faiblesse

CWE-305

Publiée2026-05-04

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéFaible

RÉFÉRENCES

Description officielle du NVD (en anglais)

A flaw was found in the AAP gateway. The user auto-link strategy, introduced in AAP 2.6, automatically links an external Identity Provider (IDP) identity to an existing AAP user account based on email matching without verifying email ownership. This allows a remote attacker to potentially hijack a victim's account or gain unauthorized access to other accounts, including administrative accounts, by manipulating the IDP-provided email.