CVE-2026-73294 in Semaphore
الملخص
بحسب VulDB • 12/08/2026
تُعد Semaphore UI واجهة ويب لإدارة أدوات DevOps. قبل الإصدارين 2.18.17 و 2.19.5-beta2، كان التعامل مع حقل git_url في المستودعات يمرر خيار --upload-pack الذي يتحكم فيه المهاجم إلى الدالة CmdGitClient.GetLastRemoteCommitHash عبر POST /api/project/{id}/repositories وآلية استطلاع hash الالتزامات (commit-hash) المجدولة، مما يسمح لمدير المشروع أو مالكه بتنفيذ أوامر نظام تشغيل تعسفية في عملية خادم Semaphore. تم إصلاح هذه المشكلة في الإصدارين 2.18.17 و 2.19.5-beta2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.