CVE-2026-73292
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Semaphore UI przed wersją 2.18.21 zawiera podatność na atak CSRF w punkcie końcowym /api/users/{id}/password, umożliwiającą nieuwierzytelnionemu atakującemu zmianę hasła administratora lub innego użytkownika po interakcji z ofiarą. Brak ochrony CSRF i potwierdzenia bieżącego hasła.
Ocena ryzyka
Ryzyko przejęcia konta administratora lub innego użytkownika, co może prowadzić do nieautoryzowanego dostępu do zarządzania infrastrukturą DevOps.
Rekomendacja
Zaktualizuj Semaphore UI do wersji 2.18.21 lub nowszej, która zawiera poprawkę.
Inne podatności w Semaphore UI
Zobacz wszystkie- CVE-2026-73294Krytyczne
Semaphore UI przed wersjami 2.18.17 i 2.19.5-beta2 nieprawidłowo obsługuje parametr git_url w repozytoriach, przekazując kontrolowaną przez atakującego opcję --upload-pack do CmdGitClient.GetLastRemoteCommitHash. Pozwala to menedżerowi projektu lub właścicielowi na wykonanie dowolnych poleceń systemu operacyjnego w procesie serwera Semaphore.
- CVE-2026-91994Średnie
Semaphore UI do wersji 2.19.12 zwalnia żądania GET i HEAD z kontroli uprawnień do zasobów projektu w GetMustCanMiddleware. Atakujący z rolami guest lub task_runner mogą odczytać wszystkie środowiska projektu, w tym hasła, poświadczenia i sekrety w postaci jawnej, poprzez żądania GET do endpointu środowiska.
- CVE-2026-73293Wysokie
Semaphore UI to interfejs webowy do zarządzania narzędziami DevOps. Przed wersją 2.18.19 oraz od 2.19.0-alpha3 do 2.19.5-beta5, ProjectMiddleware i GetProjectOrGlobalRoleBySlug pozwalają menedżerowi projektu na użycie POST /api/project/{id}/roles do utworzenia niestandardowej roli menedżera z maską bitową uprawnień 15, nadpisując wbudowane uprawnienia menedżera i przyznając możliwości właściciela CanUpdateProject i CanManageProjectUsers. Problem został naprawiony w wersjach 2.18.19 i 2.19.5-beta5.
Oryginalny opis (angielski, źródło NVD)
Semaphore UI is a web interface for managing DevOps tools. Prior to 2.18.21, the /api/users/{id}/password endpoint accepts a cross-site request using the authenticated user's semaphore session cookie without CSRF protection or current-password confirmation, allowing an unauthenticated attacker to change an administrator's or another user's password after user interaction. This issue is fixed in version 2.18.21.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS