CVE-2026-12398
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 55 — wyżej niż 55% wszystkich znanych CVE
Streszczenie
W galaxy_ng znaleziono podatność na wstrzykiwanie poleceń. Funkcja do_git_checkout() w legacy API importu ról (v1) interpoluje niesanitowane nazwy referencji git (nazwy gałęzi/tagów) do poleceń powłoki wykonywanych przez subprocess.run() z shell=True. Uwierzytelniony użytkownik kontrolujący repozytorium git może utworzyć gałąź lub tag z metaznakami powłoki w nazwie, aby uzyskać zdalne wykonanie kodu na pulpicie roboczym.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości zdalnego wykonania kodu przez uwierzytelnionego użytkownika na pulp worker, co może prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub dalszego ataku w sieci wewnętrznej. Podatność jest jednak ograniczona do konfiguracji z włączoną opcją GALAXY_ENABLE_LEGACY_ROLES, która nie jest domyślnie aktywna.
Rekomendacja
Zaleca się natychmiastowe wyłączenie opcji GALAXY_ENABLE_LEGACY_ROLES, jeśli nie jest wymagana, oraz zastosowanie poprawek bezpieczeństwa od dostawcy. Należy również przeprowadzić audyt repozytoriów git pod kątem podejrzanych nazw gałęzi lub tagów.
Oryginalny opis (angielski, źródło NVD)
A command injection vulnerability was found in galaxy_ng. The do_git_checkout() function in the legacy role import API (v1) interpolates unsanitized git ref names (branch/tag names) into shell commands executed via subprocess.run() with shell=True. An authenticated user who controls a git repository can create a branch or tag with shell metacharacters in the name to achieve remote code execution on the pulp worker. The vulnerable endpoint is only reachable when GALAXY_ENABLE_LEGACY_ROLES is set to True, which is not the default configuration.