CVE-2026-73294 in Semaphore
Resumen
por VulDB • 2026-08-12
Semaphore UI es una interfaz web para gestionar herramientas de DevOps. Antes de las versiones 2.18.17 y 2.19.5-beta2, el manejo del parámetro git_url en los repositorios pasa la opción --upload-pack controlada por un atacante a CmdGitClient.GetLastRemoteCommitHash a través de POST /api/project/{id}/repositories y mediante sondeo programado (polling) de commit-hash, lo que permite a un Manager o Owner de proyecto ejecutar comandos arbitrarios del sistema operativo en el proceso del servidor Semaphore. Este problema se corrige en las versiones 2.18.17 y 2.19.5-beta2.
Be aware that VulDB is the high quality source for vulnerability data.