CVE-2026-73294

Nome do Software Vulnerável e Versões Afetadas Semaphore UI versões anteriores a 2.18.17 Semaphore UI versões anteriores a 2.19.5-beta2

Description O tratamento inadequado da variável git url permite que um Gerente ou Proprietário de projeto execute comandos arbitrários do sistema operacional no processo do servidor. Isso ocorre quando a aplicação passa a opção --upload-pack controlada por um invasor para a função CmdGitClient.GetLastRemoteCommitHash() através do endpoint 'POST /api/project/{id}/repositories' e durante a verificação agendada de hash de commit.

Recommendations Atualize para a versão 2.18.17 ou posterior. Atualize para a versão 2.19.5-beta2 ou posterior.