Wysoka

ansible-core: Argument injection in ansible-galaxy role install leads to arbitrary code execution

Ujawniono: 05.06.2026
Aktualizacja: 11.10.2026 14:18

A flaw was found in ansible-core. The ansible-galaxy role install command processes dependency specifications from a role's meta/requirements.yml file. Due to improper neutralization of argument delimiters, a malicious role author can inject arbitrary git configuration flags through the src field. This allows arbitrary code execution on the machine of a user who installs the role via ansible-galaxy role install.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	ansible-core	< 2.16.19rc1, >= 2.17.0b1, < 2.18.18rc1, >= 2.19.0b1, < 2.19.11rc1, >= 2.20.0b1, < 2.20.7rc1, >= 2.21.0b1, < 2.21.1rc1	2.16.19rc1, 2.18.18rc1, 2.19.11rc1, 2.20.7rc1, 2.21.1rc1

Odnośniki

Ocena CVSS 7.8/10

Wektor CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Słabość (CWE): CWE-88
Platforma: Python (PyPI)
Paczka: ansible-core
Ujawniono: 05.06.2026
Aktualizacja: 11.10.2026 14:18

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2026-3458 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-w8p5-mx5w-cpqj - CC BY 4.0

Historia podatności: ansible-core

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 7
Pierwsza → ostatnia: 10.2023 06.2026
Bez poprawki: 1
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 2
Średnia 4
Niska 1

Ujawnienia w latach

2023: 2
2024: 4
2025: 0
2026: 1

05.06.2026

ansible-core: Argument injection in ansible-galaxy role install leads to arbitrary code execution ten wpis

Wysoka · 7.8 CVE-2026-11332 < 2.16.19rc1, >= 2.17.0b1, < 2.18.18rc1, >= 2.19.0b1, < 2.19.11rc1, >= 2.20.0b1, < 2.20.7rc1, >= 2.21.0b1, < 2.21.1rc1 2.16.19rc1, 2.18.18rc1, 2.19.11rc1, 2.20.7rc1, 2.21.1rc1
12.11.2024

Ansible-Core vulnerable to content protections bypass

Niska · 5.5 CVE-2024-11079 >= 2.18.0b1, < 2.18.1rc1, >= 2.17.0b1, < 2.17.7rc1, < 2.16.14rc1 2.18.1rc1, 2.17.7rc1, 2.16.14rc1
06.11.2024

ansible-core Incorrect Authorization vulnerability

Średnia · 6.3 CVE-2024-9902 < 2.14.18rc1, >= 2.15.0b1, < 2.15.13rc1, >= 2.16.0b1, < 2.16.13rc1, >= 2.17.0b1, < 2.17.6rc1, >= 2.18.0b1, < 2.18.0rc2 2.14.18rc1, 2.15.13rc1, 2.16.13rc1, 2.17.6rc1, 2.18.0rc2
16.09.2024

Ansible vulnerable to Insertion of Sensitive Information into Log File

Wysoka · 5.5 CVE-2024-8775 >= 2.17.0b1, < 2.17.6, < 2.16.13 2.17.6, 2.16.13
06.02.2024

An information disclosure flaw was found in ansible-core due to a failure to respect the ANSIBLE_NO_LOG configuration in some scenarios. It was discovered that information is still included in the out

Średnia · 5.5 CVE-2024-0690 < 2.14.4, >= 2.15.0, < 2.15.9, >= 2.16.0, < 2.16.3 2.14.4, 2.15.9, 2.16.3
13.12.2023

Ansible template injection vulnerability

Średnia · 6.6 CVE-2023-5764 >= 2.16.0, < 2.16.1, >= 2.15.0, < 2.15.8, < 2.14.12 2.16.1, 2.15.8, 2.14.12
04.10.2023

Ansible may expose private key

Średnia · 6.5 CVE-2023-4237 >= 2.8.0, <= 2.15.2 brak poprawki

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację