CVE-2026-73294
Publiée le 2026-08-12 · Dernière modification le 2026-08-12
Les utilisateurs des versions de Semaphore UI antérieures à 2.18.17 et 2.19.5-beta2 sont concernés par une faille d'injection de commandes liée à la manière dont le logiciel gère les URL de dépôts git. Un attaquant disposant de privilèges de Gestionnaire (Manager) ou de Propriétaire (Owner) de projet peut exécuter des commandes arbitraires du système d'exploitation sur le serveur via l'API web. Cette exploitation est facile à réaliser via le réseau et ne nécessite qu'une authentification basique à un projet, sans interaction d'un tiers.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Semaphore UI is a web interface for managing DevOps tools. Prior to 2.18.17 and 2.19.5-beta2, repository git_url handling passes an attacker-controlled --upload-pack option to CmdGitClient.GetLastRemoteCommitHash through POST /api/project/{id}/repositories and scheduled commit-hash polling, allowing a project Manager or Owner to execute arbitrary OS commands in the Semaphore server process. This issue is fixed in versions 2.18.17 and 2.19.5-beta2.