CVE-2026-73294
KrytyczneCVSS 9.9Streszczenie
Semaphore UI przed wersjami 2.18.17 i 2.19.5-beta2 nieprawidłowo obsługuje parametr git_url w repozytoriach, przekazując kontrolowaną przez atakującego opcję --upload-pack do CmdGitClient.GetLastRemoteCommitHash. Pozwala to menedżerowi projektu lub właścicielowi na wykonanie dowolnych poleceń systemu operacyjnego w procesie serwera Semaphore.
Ocena ryzyka
Osoba z uprawnieniami menedżera projektu lub właściciela może wykonać dowolne polecenia na serwerze Semaphore, co może prowadzić do pełnego przejęcia systemu.
Rekomendacja
Zaktualizuj Semaphore UI do wersji 2.18.17 lub 2.19.5-beta2, które zawierają poprawkę.
Oryginalny opis (angielski, źródło NVD)
Semaphore UI is a web interface for managing DevOps tools. Prior to 2.18.17 and 2.19.5-beta2, repository git_url handling passes an attacker-controlled --upload-pack option to CmdGitClient.GetLastRemoteCommitHash through POST /api/project/{id}/repositories and scheduled commit-hash polling, allowing a project Manager or Owner to execute arbitrary OS commands in the Semaphore server process. This issue is fixed in versions 2.18.17 and 2.19.5-beta2.