CVE-2026-58255 in Cronicle
要約
〜によって VulDB • 2026年10月27日
Cronicleは、WebベースのフロントエンドUIを備えたマルチサーバータスクスケジューラーおよびランナーです。バージョン0.9.121より前では、`create_events` および `run_events` の権限を持つ非管理者ユーザーまたはスコープ付きAPIキーが、 `/api/app/create_event` または `/api/app/update_event` を介してトップレベルの `uid` および `gid` フィールドをインジェクトできます。`lib/api.js` では、`requireValidEventData` が部分的な許可リストとして `validateOptionalParams` を使用しており、不明なキーを黙って通過させて注入されたフィールドをそのまま保存します。`lib/job.js` の `launchJob` はイベント全体をジョブにコピーし、プラグインの `uid` はプラグインがそれを定義している場合にのみイベントの `uid` を上書きします。デフォルトの `shellplug` および `urlplug` プラグインは `uid` を定義しないため、イベントで制御されたアイデンティティが子プロセス起動時に保持されます。root-daemonインストール環境では、これにより低権限ユーザーが管理者専用の run-as-user 制御を回避して任意のユーザー（ルートを含む）としてジョブを実行できるようになります。このAPI側のイベントインジェクトは、CVE-2026-39401 で対処されたジョブ出力 `uid`/`gid` のインジェクションとは異なります。本問題はバージョン0.9.121で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.