CVE-2024-10033
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W komponencie aap-gateway wykryto podatność Cross-site Scripting (XSS). Złośliwy użytkownik może wykorzystać parametr "?next=" w adresie URL do przekierowania, wstrzyknięcia złośliwego skryptu oraz kradzieży sesji i danych.
Ocena ryzyka
Atakujący może przejąć sesje użytkowników, wykonywać działania w ich imieniu i wykradać poufne dane, co może prowadzić do naruszenia bezpieczeństwa całego systemu.
Rekomendacja
Zaktualizuj aap-gateway do wersji zawierającej poprawkę; wdroż walidację i sanityzację parametrów URL oraz rozważ włączenie nagłówków bezpieczeństwa (CSP).
Inne podatności w aap-gateway
Zobacz wszystkie- CVE-2026-18141Wysokie
W komponencie aap-gateway Ansible Automation Platform Event-Driven Ansible (EDA) stwierdzono podatność, która pozwala nieuwierzytelnionemu zdalnemu atakującemu ominąć uwierzytelnianie mTLS dla strumieni zdarzeń. Atakujący może manipulować adresem URL strumienia zdarzeń i sfałszować nagłówek HTTP Subject, a system nieumyślnie ujawnia oczekiwany certyfikat w komunikatach błędów.
- CVE-2026-6266Wysokie
W bramie AAP wykryto lukę w strategii automatycznego łączenia tożsamości z zewnętrznego dostawcy tożsamości (IDP) z istniejącym kontem użytkownika na podstawie dopasowania adresu e-mail, bez weryfikacji własności tego adresu. Pozwala to zdalnemu atakującemu na przejęcie konta ofiary lub uzyskanie nieautoryzowanego dostępu do innych kont, w tym administracyjnych, poprzez manipulację adresem e-mail dostarczonym przez IDP.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in aap-gateway. A Cross-site Scripting (XSS) vulnerability exists in the gateway component. This flaw allows a malicious user to perform actions that impact users by using the "?next=" in a URL, which can lead to redirecting, injecting malicious script, stealing sessions and data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS