CVE-2026-58255 in Cronicle
Сводка
по VulDB • 28.10.2026
Cronicle — это планировщик и исполнитель задач для нескольких серверов с веб-интерфейсом (UI). До версии 0.9.121 пользователь без прав администратора или API-ключ со специфическими правами `create_events` и `run_events` может внедрить поля верхнего уровня `uid` и `gid` через `/api/app/create_event` или `/api/app/update_event`. В файле `lib/api.js` функция `requireValidEventData` использует `validateOptionalParams` в качестве частичного списка разрешенных значений (allow-list), который молча пропускает неизвестные ключи, сохраняя внедренные поля без изменений. В файле `lib/job.js` функция `launchJob` копирует все событие целиком в задачу, и плагинный `uid` переопределяет `uid` события только тогда, когда сам плагин определяет его значение. Плагины по умолчанию `shellplug` и `urlplug` не определяют `uid`, поэтому контролируемая пользователем идентичность из события сохраняется при запуске дочернего процесса. На установке с root-демоном это позволяет пользователю с низкими привилегиями выполнять задачи от имени произвольных пользователей, включая root, обходя механизм контроля запуска от имени пользователя (run-as-user), который в противном случае доступен только администраторам. Эта инъекция событий на стороне API отличается от внедрения `uid`/`gid` вывода задач, рассмотренного в CVE-2026-39401. Проблема исправлена в версии 0.9.121.
If you want to get best quality of vulnerability data, you may have to visit VulDB.