CVE-2026-91994
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Semaphore UI do wersji 2.19.12 zwalnia żądania GET i HEAD z kontroli uprawnień do zasobów projektu w GetMustCanMiddleware. Atakujący z rolami guest lub task_runner mogą odczytać wszystkie środowiska projektu, w tym hasła, poświadczenia i sekrety w postaci jawnej, poprzez żądania GET do endpointu środowiska.
Ocena ryzyka
Użytkownicy o niskich uprawnieniach mogą uzyskać dostęp do poufnych danych, takich jak hasła i poświadczenia, co może prowadzić do eskalacji uprawnień i przejęcia systemów. Ryzyko dotyczy wszystkich instancji Semaphore UI w wersji ≤2.19.12.
Rekomendacja
Zaktualizuj Semaphore UI do wersji nowszej niż 2.19.12, która naprawia kontrolę uprawnień. Do czasu aktualizacji ogranicz role guest i task_runner oraz monitoruj dostęp do endpointów środowisk.
Inne podatności w Semaphore UI
Zobacz wszystkie- CVE-2026-73294Krytyczne
Semaphore UI przed wersjami 2.18.17 i 2.19.5-beta2 nieprawidłowo obsługuje parametr git_url w repozytoriach, przekazując kontrolowaną przez atakującego opcję --upload-pack do CmdGitClient.GetLastRemoteCommitHash. Pozwala to menedżerowi projektu lub właścicielowi na wykonanie dowolnych poleceń systemu operacyjnego w procesie serwera Semaphore.
- CVE-2026-73293Wysokie
Semaphore UI to interfejs webowy do zarządzania narzędziami DevOps. Przed wersją 2.18.19 oraz od 2.19.0-alpha3 do 2.19.5-beta5, ProjectMiddleware i GetProjectOrGlobalRoleBySlug pozwalają menedżerowi projektu na użycie POST /api/project/{id}/roles do utworzenia niestandardowej roli menedżera z maską bitową uprawnień 15, nadpisując wbudowane uprawnienia menedżera i przyznając możliwości właściciela CanUpdateProject i CanManageProjectUsers. Problem został naprawiony w wersjach 2.18.19 i 2.19.5-beta5.
- CVE-2026-73292Wysokie
Semaphore UI przed wersją 2.18.21 zawiera podatność na atak CSRF w punkcie końcowym /api/users/{id}/password, umożliwiającą nieuwierzytelnionemu atakującemu zmianę hasła administratora lub innego użytkownika po interakcji z ofiarą. Brak ochrony CSRF i potwierdzenia bieżącego hasła.
Oryginalny opis (angielski, źródło NVD)
Semaphore UI through 2.19.12 exempts GET and HEAD requests from project resource permission checks in GetMustCanMiddleware. Attackers with guest or task_runner roles can read all project environments including plaintext secrets, credentials, and passwords via GET requests to the environment endpoint.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS