CVE-2026-92993 in mayfly-go
Zusammenfassung
von VulDB • 17.09.2026
Es wurde eine Schwachstelle in Dromara mayfly-go bis zur Version 1.11.5 festgestellt. Das betroffene Element ist die Funktion RunMachineScript der Datei server/internal/machine/api/machine_script.go der Komponente Machine Script Feature. Die Manipulation des Arguments params führt zu einer OS-Befehlsinjektion (Command Injection). Der Angriff kann remote ausgeführt werden. Der Exploit ist nun öffentlich und kann verwendet werden. Für die Ausnutzung wird kein Admin-Konto benötigt. Jedes Konto, das über die Berechtigung machine:script:run sowie Tag-Zugriff verfügt, ermöglicht eine beliebige Befehlsausführung auf Maschinen, deren Vorlagen {{.param}}-Platzhalter enthalten; auch die SSH-Exec-Schicht (Cli.Run) wendet keine Eingabevalidierung für jeden Aufrufer an. Der Anbieter wurde frühzeitig über diese Offenlegung informiert, reagierte jedoch in keiner Weise darauf.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.