CVE-2026-72538
WysokieCVSS 8.8Streszczenie
Podatność wstrzykiwania argumentów w PrefectHQ Prefect do wersji 3.8.2 pozwala uwierzytelnionym użytkownikom na osiągnięcie zdalnego wykonania kodu przez pole branch w kroku pull git_clone. Parametr branch jest przekazywany bezpośrednio do git pull bez sanityzacji, umożliwiając wstrzyknięcie dowolnych argumentów git. Jest to odrębna ścieżka kodu od niekompletnej poprawki zastosowanej dla CVE-2026-5366 i pozwala na wykonanie poleceń na serwerze Prefect.
Ocena ryzyka
Ryzyko obejmuje zdalne wykonanie kodu na serwerze Prefect, co może prowadzić do pełnej kompromitacji systemu i danych. Może to również umożliwić dalsze ataki na infrastrukturę.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek lub sanityzację parametru branch w kroku git_clone. Należy również ograniczyć uprawnienia użytkowników i monitorować działania związane z krokami pull.
Oryginalny opis (angielski, źródło NVD)
An argument injection vulnerability in PrefectHQ Prefect through 3.8.2 allows authenticated users to achieve remote code execution via the git_clone pull step branch field. The branch parameter is passed directly to git pull without sanitization, enabling injection of arbitrary git arguments. This represents a distinct code path from the incomplete fix applied for CVE-2026-5366 and allows command execution on the Prefect server.