CVE-2026-112305
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Semaphore UI do wersji 2.19.16 zawiera podatność zdalnego wykonania kodu, która pozwala użytkownikom z rolą task_runner nadpisać chronione zmienne Ansible poprzez dostarczenie dowolnych kluczy w JSON środowiska zadania. Atakujący mogą wysłać zadania ustawiające ansible_ssh_common_args z ProxyCommand lub ansible_connection=local, aby wykonać polecenia jako użytkownik serwera Semaphore, ujawniając klucze szyfrujące, klucze SSH i przechowywane sekrety.
Ocena ryzyka
Użytkownik z ograniczoną rolą może uzyskać wykonanie kodu i dostęp do wrażliwych sekretów, co może prowadzić do eskalacji uprawnień i kompromitacji infrastruktury. Ryzyko dotyczy wdrożeń Semaphore UI z użytkownikami task_runner.
Rekomendacja
Zaktualizuj Semaphore UI do wersji nowszej niż 2.19.16, jeśli jest dostępna, lub ogranicz możliwość nadpisywania chronionych zmiennych Ansible. Przeglądaj i ograniczaj uprawnienia roli task_runner.
Inne podatności w Semaphore UI
Zobacz wszystkie- CVE-2026-73294Krytyczne
Semaphore UI przed wersjami 2.18.17 i 2.19.5-beta2 nieprawidłowo obsługuje parametr git_url w repozytoriach, przekazując kontrolowaną przez atakującego opcję --upload-pack do CmdGitClient.GetLastRemoteCommitHash. Pozwala to menedżerowi projektu lub właścicielowi na wykonanie dowolnych poleceń systemu operacyjnego w procesie serwera Semaphore.
- CVE-2026-91994Średnie
Semaphore UI do wersji 2.19.12 zwalnia żądania GET i HEAD z kontroli uprawnień do zasobów projektu w GetMustCanMiddleware. Atakujący z rolami guest lub task_runner mogą odczytać wszystkie środowiska projektu, w tym hasła, poświadczenia i sekrety w postaci jawnej, poprzez żądania GET do endpointu środowiska.
- CVE-2026-73293Wysokie
Semaphore UI to interfejs webowy do zarządzania narzędziami DevOps. Przed wersją 2.18.19 oraz od 2.19.0-alpha3 do 2.19.5-beta5, ProjectMiddleware i GetProjectOrGlobalRoleBySlug pozwalają menedżerowi projektu na użycie POST /api/project/{id}/roles do utworzenia niestandardowej roli menedżera z maską bitową uprawnień 15, nadpisując wbudowane uprawnienia menedżera i przyznając możliwości właściciela CanUpdateProject i CanManageProjectUsers. Problem został naprawiony w wersjach 2.18.19 i 2.19.5-beta5.
- CVE-2026-73292Wysokie
Semaphore UI przed wersją 2.18.21 zawiera podatność na atak CSRF w punkcie końcowym /api/users/{id}/password, umożliwiającą nieuwierzytelnionemu atakującemu zmianę hasła administratora lub innego użytkownika po interakcji z ofiarą. Brak ochrony CSRF i potwierdzenia bieżącego hasła.
Oryginalny opis (angielski, źródło NVD)
Semaphore UI through 2.19.16 contains a remote code execution vulnerability that allows users with the task_runner role to override protected Ansible variables by supplying arbitrary keys in the task environment JSON. Attackers can POST tasks setting ansible_ssh_common_args with a ProxyCommand or ansible_connection=local to execute commands as the Semaphore server user, exposing encryption keys, SSH keys and stored secrets.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS