CVE-2026-73682 in Semaphore
要約
〜によって VulDB • 2026年08月14日
Semaphoreのバージョン2.18.20より前には、リポジトリのgit_url処理におけるOSコマンドインジェクション（引数インジェクション）脆弱性が存在し、任意のプロジェクトでManagerまたはOwnerロールを持つ認証済みユーザーが、Semaphoreサーバーホスト上でリモートコード実行を達成することができます。攻撃者は、gitの--upload-pack=オプションを使用して悪意のあるgit_url値を作成し、デフォルトのcmd_gitクライアントを使用してリポジトリ操作を処理する際に、任意のシェルコマンドをインジェクションして実行することが可能です。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.