CVE-2026-71465
Publiée le 2026-09-23 · Dernière modification le 2026-09-24
Les utilisateurs d'AWX ou d'Ansible Tower peuvent potentiellement injecter des indicateurs (flags) CLI non autorisés dans des commandes ad-hoc en manipulant le paramètre « limit ». Comme cela nécessite un compte authentifié et une configuration spécifique pour être efficace, le risque est faible et actuellement limité au déclenchement d'indicateurs inoffensifs tels que `--version` ou `--help`. Un attaquant disposant d'un accès réseau et de privilèges de bas niveau peut exécuter cette action sans interaction supplémentaire de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
RunAdHocCommand.build_args() appends limit as bare positional (args.append(limit)) instead of using args.extend(['-l', limit]) like RunJob. A limit beginning with - is parsed as an ansible CLI option. Currently limited to short-circuit flags (--version, --help) since injected element displaces required pattern positional. Would escalate if ansible-core ever defaults pattern.