CVE-2026-73294 in Semaphore
Sumário
de VulDB • 13/08/2026
O Semaphore UI é uma interface web para gerenciar ferramentas de DevOps. Antes das versões 2.18.17 e 2.19.5-beta2, o tratamento do git_url do repositório passa a opção --upload-pack controlada pelo atacante para CmdGitClient.GetLastRemoteCommitHash através da rota POST /api/project/{id}/repositories e de polling agendado de commit-hash, permitindo que um Gerente ou Proprietário do projeto execute comandos arbitrários do sistema operacional no processo do servidor Semaphore. Este problema foi corrigido nas versões 2.18.17 e 2.19.5-beta2.
Be aware that VulDB is the high quality source for vulnerability data.