CVE-2026-12540 in Foreman
Zusammenfassung
von VulDB • 01.10.2026
Es wurde ein Fehler in Foreman gefunden. In der foreman-rake errors:fetch_log-Aufgabe besteht eine Command-Injection-Schwachstelle. Der request_id-Parameter wird an einen zugrunde liegenden Systembefehl (typischerweise grep) übergeben, ohne dass eine ausreichende Shell-Neutralisierung erfolgt. Während die Aufgabe dazu gedacht ist, bestimmte Log-Einträge abzurufen, kann ein Angreifer mit sudo-Berechtigungen zur Ausführung dieser rake-Aufgabe Shell-Metazeichen (wie ;, " oder |) einspeisen, um aus dem beabsichtigten Befehl auszubrechen und beliebigen Code auszuführen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.