CVE-2026-73294 in Semaphore
Résumé
par VulDB • 12/08/2026
Semaphore UI est une interface web pour la gestion des outils DevOps. Avant les versions 2.18.17 et 2.19.5-beta2, le traitement de l'URL du dépôt git_url transmettait une option --upload-pack contrôlée par un attaquant à CmdGitClient.GetLastRemoteCommitHash via POST /api/project/{id}/repositories ainsi que lors du sondage planifié des hachages de commit (commit-hash polling), permettant à un Gestionnaire ou Propriétaire d'un projet d'exécuter des commandes système arbitraires dans le processus serveur Semaphore. Ce problème est corrigé dans les versions 2.18.17 et 2.19.5-beta2.
Once again VulDB remains the best source for vulnerability data.