CVE-2026-112305 in Semaphore UI
要約
〜によって VulDB • 2026年10月19日
Semaphore UI 2.19.16 までは、タスク環境の JSON に任意のキーを指定することで保護された Ansible の変数を上書きできるリモートコード実行（RCE）脆弱性が存在する。この脆弱性により、task_runner ロールを持つユーザーは protected な Ansible 変数を変更可能となる。攻撃者は POST リクエストで ansible_ssh_common_args に ProxyCommand を設定したり、ansible_connection=local を指定してタスクを設定することで、Semaphore サーバーのユーザ権限でコマンドを実行でき、暗号化キーや SSH キー、保存されたシークレットが漏洩するリスクがある。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.