CVE-2026-92993

ŚrednieCVSS 6.3

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.46%

Percentyl 72 - wyżej niż 72% wszystkich znanych CVE

Streszczenie

W Dromara mayfly-go do wersji 1.11.5 wykryto podatność w funkcji RunMachineScript w pliku server/internal/machine/api/machine_script.go w komponencie Machine Script Feature. Manipulacja argumentem params prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Wykorzystanie nie wymaga konta administratora — dowolne konto z uprawnieniem machine:script:run i dostępem do tagów może osiągnąć wykonanie dowolnych poleceń na maszynach, których szablony zawierają placeholdery {{.param}}. Problem nie został naprawiony przez dostawcę.

Ocena ryzyka

Atakujący z niskimi uprawnieniami może wykonać dowolne polecenia na zdalnych maszynach, co może prowadzić do pełnego przejęcia systemu. Publiczny exploit zwiększa ryzyko szybkiego wykorzystania.

Rekomendacja

Ogranicz dostęp do funkcji Machine Script Feature i uprawnienia machine:script:run do zaufanych użytkowników. Monitoruj logi pod kątem podejrzanych wywołań i rozważ wdrożenie dodatkowej walidacji danych wejściowych, ponieważ dostawca nie wydał poprawki.

Inne podatności w Dromara mayfly-go

CVE-2026-92992Średnie
W Dromara mayfly-go do wersji 1.11.5 wykryto lukę w nieznanej funkcji pliku server/internal/ai/api/ai.go w komponencie AI Assistant, prowadzącą do braku autoryzacji. Zdalne wykorzystanie jest możliwe, a exploit został publicznie ujawniony. Obejście białej listy jest szerokie na jeden token — każde złożone polecenie zawierające curl, wget lub sed uruchamia się automatycznie bez zatwierdzenia, a zatwierdzenie pochodzi od tego samego użytkownika sesji (samozatwierdzenie).

Oryginalny opis (angielski, źródło NVD)

A vulnerability was detected in Dromara mayfly-go up to 1.11.5. The impacted element is the function RunMachineScript of the file server/internal/machine/api/machine_script.go of the component Machine Script Feature. The manipulation of the argument params results in os command injection. The attack can be executed remotely. The exploit is now public and may be used. Exploitation needs no admin account. Any account holding machine:script:run plus tag access reaches arbitrary command execution on machines whose templates contain {{.param}} placeholders; the SSH exec layer (Cli.Run) also applies no input filtering to any caller. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS