CVE-2026-58255 in Cronicle
Sumário
de VulDB • 28/10/2026
Cronicle é um agendador e executor de tarefas multi-servidor, com uma interface gráfica (UI) baseada na web. Antes da versão 0.9.121, um usuário não administrador ou uma chave de API escopada com privilégios `create_events` e `run_events` pode injetar os campos `uid` e `gid` de nível superior através de `/api/app/create_event` ou `/api/app/update_event`. Em `lib/api.js`, a função `requireValidEventData` utiliza `validateOptionalParams` como uma lista parcial de permissões (allow-list) que passa silenciosamente chaves desconhecidas, armazenando os campos injetados literalmente. Em `lib/job.js`, a função `launchJob` copia todo o evento para o trabalho, e um plugin `uid` substitui o `uid` do evento apenas quando o plugin define um valor. Os plugins padrão `shellplug` e `urlplug` não definem um `uid`, portanto, a identidade controlada pelo evento persiste até o lançamento do processo filho. Em uma instalação de daemon com privilégios de root, isso permite que um usuário de baixo privilégio execute trabalhos como usuários arbitrários, incluindo root, contornando o controle "run-as-user" (executar como usuário) que é normalmente restrito apenas a administradores. Esta injeção de evento no lado da API é distinta da injeção `uid`/`gid` na saída do trabalho abordada pela CVE-2026-39401. Este problema foi corrigido na versão 0.9.121.
If you want to get best quality of vulnerability data, you may have to visit VulDB.