ManageIQ : désérialisation YAML non sûre pouvant mener à une exécution de code

Veille sécuritéBackend & données

P3Élevée

ManageIQ présente une désérialisation dangereuse de YAML : dans certaines conditions, `YamlLoadAliases` retombe de `YAML.safe_load` à `YAML.unsafe_load`. Un attaquant authentifié disposant du droit d’importer des dialogues peut viser l’exécution de code à distance; l’avis indique qu’aucun correctif ne sera publié pour Red Hat CloudForms, en fin de vie.

IdentifiantCVE-2026-52903

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : CVE-2026-52903 — fiche NVD

Analyse technique

Le repli vers `YAML.unsafe_load` peut désérialiser des objets Ruby arbitraires à partir d’un fichier YAML contrôlé par l’attaquant. Les versions concernées et un correctif pour ManageIQ ne sont pas précisés dans les éléments vérifiés.

Impact, versions et correctif

Événement datéLa publication de la fiche NVD est datée du 12 octobre 2026 à 13:17:32.757Z, soit 15:17:32.757 +02:00, dans la période demandée. La modification NVD du même jour ne constitue pas un événement supplémentaire.

ImpactExécution de code à distance possible pour un utilisateur authentifié ayant accès à l’import de dialogues.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.8

Publication2026-10-12T15:17:32.757+02:00

Mise à jour2026-10-12T15:17:32.757+02:00

Action recommandée

Évaluer l’exposition des fonctions d’import de dialogues et suivre les avis ManageIQ pour les mesures correctives; aucune version corrigée n’est établie ici.

Sources

CVE-2026-52903 — fiche NVD

Priorisation DFS : P3 · 1 source(s).