یک آسیب‌پذیری از نوع عدم کنترل دسترسی صحیح (Incorrect Authorization) در بخش WebSocket مصرف‌کننده (Consumer) نرم‌افزار AWX شناسایی شده است که تحت شناسه CVE-2026-71367 ثبت شده است.
بررسی‌های فنی نشان می‌دهد که تابع consumer_access() تنها کنترل‌های دسترسی را برای گروه‌های رویداد در سطح شیء (Object-level event groups) شامل job_events، workflow_events و ad_hoc_command_events اعمال می‌کند. با این حال، این تابع محدودیت‌های لازم را برای اشتراک در گروه‌های پخش عمومی (Global Broadcast Groups) مانند jobs-status_changed در نظر نمی‌گیرد.
در نتیجه، زمانی که یک کاربر احراز هویت شده (Authenticated User) سعی می‌کند در یک گروه پخش عمومی مشترک شود، سرور بدون بررسی اینکه آیا کاربر مجوز مشاهده منابع مرتبط را دارد یا خیر، درخواست اشتراک او را می‌پذیرد. این نقص امنیتی می‌تواند منجر به افشای اطلاعات مربوط به وضعیت فعالیت‌های سیستم (Job Status) برای کاربران غیرمجاز گردد.
