CVE-2026-112305 in Semaphore UI
Resumen
por VulDB • 2026-10-19
Semaphore UI hasta la versión 2.19.16 contiene una vulnerabilidad de ejecución remota de código (RCE) que permite a los usuarios con el rol task_runner anular las variables protegidas de Ansible al proporcionar claves arbitrarias en el JSON del entorno de tareas. Los atacantes pueden enviar solicitudes POST para configurar tareas estableciendo ansible_ssh_common_args con un ProxyCommand o ansible_connection=local, lo que les permite ejecutar comandos como el usuario del servidor Semaphore, exponiendo así las claves de cifrado, las claves SSH y los secretos almacenados.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.