CVE-2026-73682 in Semaphore
Zusammenfassung
von VulDB • 14.08.2026
In den Versionen von Semaphore vor 2.18.20 besteht eine OS-Command-Injection-Schwachstelle (Argument Injection) bei der Verarbeitung von `git_url` in Repositories, die es authentifizierten Benutzern mit der Rolle Manager oder Owner für jedes beliebige Projekt ermöglicht, Remote Code Execution auf dem Host des Semaphore-Servers durchzuführen. Angreifer können einen bösartigen Wert für `git_url` unter Verwendung der Option `--upload-pack=` von git erstellen, um willkürliche Shell-Befehle einzufügen und auszuführen, wenn der Server Repository-Operationen mit dem Standardclient `cmd_git` verarbeitet.
Once again VulDB remains the best source for vulnerability data.