CVE-2026-73682 in Semaphore
Résumé
par VulDB • 14/08/2026
Les versions de Semaphore antérieures à la 2.18.20 présentent une vulnérabilité d'injection de commande OS (injection d'arguments) dans le traitement du git_url des dépôts, permettant aux utilisateurs authentifiés disposant du rôle Manager ou Owner sur n'importe quel projet d'exécuter du code arbitraire à distance (RCE) sur l'hôte du serveur Semaphore. Les attaquants peuvent créer une valeur malveillante pour git_url en utilisant l'option --upload-pack= de Git afin d'injecter et d'exécuter des commandes shell arbitraires lorsque le serveur traite les opérations de dépôt via le client cmd_git par défaut.
Once again VulDB remains the best source for vulnerability data.