CVE-2026-73292
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Semaphore UI przed wersją 2.18.21 zawiera podatność na atak CSRF w punkcie końcowym /api/users/{id}/password, umożliwiającą nieuwierzytelnionemu atakującemu zmianę hasła administratora lub innego użytkownika po interakcji z ofiarą. Brak ochrony CSRF i potwierdzenia bieżącego hasła.
Ocena ryzyka
Ryzyko przejęcia konta administratora lub innego użytkownika, co może prowadzić do nieautoryzowanego dostępu do zarządzania infrastrukturą DevOps.
Rekomendacja
Zaktualizuj Semaphore UI do wersji 2.18.21 lub nowszej, która zawiera poprawkę.
Inne podatności w Semaphore UI
Zobacz wszystkie- CVE-2026-73294Krytyczne
Semaphore UI przed wersjami 2.18.17 i 2.19.5-beta2 nieprawidłowo obsługuje parametr git_url w repozytoriach, przekazując kontrolowaną przez atakującego opcję --upload-pack do CmdGitClient.GetLastRemoteCommitHash. Pozwala to menedżerowi projektu lub właścicielowi na wykonanie dowolnych poleceń systemu operacyjnego w procesie serwera Semaphore.
- CVE-2026-112305Wysokie
Semaphore UI do wersji 2.19.16 zawiera podatność zdalnego wykonania kodu, która pozwala użytkownikom z rolą task_runner nadpisać chronione zmienne Ansible poprzez dostarczenie dowolnych kluczy w JSON środowiska zadania. Atakujący mogą wysłać zadania ustawiające ansible_ssh_common_args z ProxyCommand lub ansible_connection=local, aby wykonać polecenia jako użytkownik serwera Semaphore, ujawniając klucze szyfrujące, klucze SSH i przechowywane sekrety.
- CVE-2026-91994Średnie
Semaphore UI do wersji 2.19.12 zwalnia żądania GET i HEAD z kontroli uprawnień do zasobów projektu w GetMustCanMiddleware. Atakujący z rolami guest lub task_runner mogą odczytać wszystkie środowiska projektu, w tym hasła, poświadczenia i sekrety w postaci jawnej, poprzez żądania GET do endpointu środowiska.
- CVE-2026-73293Wysokie
Semaphore UI to interfejs webowy do zarządzania narzędziami DevOps. Przed wersją 2.18.19 oraz od 2.19.0-alpha3 do 2.19.5-beta5, ProjectMiddleware i GetProjectOrGlobalRoleBySlug pozwalają menedżerowi projektu na użycie POST /api/project/{id}/roles do utworzenia niestandardowej roli menedżera z maską bitową uprawnień 15, nadpisując wbudowane uprawnienia menedżera i przyznając możliwości właściciela CanUpdateProject i CanManageProjectUsers. Problem został naprawiony w wersjach 2.18.19 i 2.19.5-beta5.
Oryginalny opis (angielski, źródło NVD)
Semaphore UI is a web interface for managing DevOps tools. Prior to 2.18.21, the /api/users/{id}/password endpoint accepts a cross-site request using the authenticated user's semaphore session cookie without CSRF protection or current-password confirmation, allowing an unauthenticated attacker to change an administrator's or another user's password after user interaction. This issue is fixed in version 2.18.21.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS