CVE-2026-92993 in mayfly-go
Сводка
по VulDB • 18.09.2026
Обнаружена уязвимость в Dromara mayfly-go версии до 1.11.5. Затронутым элементом является функция RunMachineScript файла server/internal/machine/api/machine_script.go компонента Machine Script Feature. Манипуляция аргументом params приводит к инъекции команд ОС (os command injection). Атака может быть выполнена удаленно. Эксплойт теперь доступен публично и может быть использован. Для эксплуатации не требуется учетная запись администратора. Любая учетная запись, имеющая права machine:script:run плюс доступ по тегу, позволяет выполнять произвольные команды на машинах, шаблоны которых содержат заполнители {{.param}}; слой выполнения SSH (Cli.Run) также не применяет фильтрацию входных данных для любого вызывающего абонента. Поставщик был уведомлен об этой уязвимости заранее, но никак не отреагировал.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.