PT-2026-72121

CVE-2026-73682

Publicado

2026-08-14

Atualizado

2026-09-10

Descrição por

CVSS 3.1

9.9

Crítica

MétricasAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Semaphore versões anteriores a 2.18.20

Description Existe um problema de injeção de comando de SO no tratamento da variável git url do repositório. Usuários autenticados com funções de Gerente ou Proprietário podem alcançar a execução remota de código no host do servidor ao criar um valor git url malicioso usando a opção --upload-pack=. Isso ocorre quando o servidor processa operações de repositório usando o cliente cmd git padrão.

Recommendations Atualize o Semaphore para a versão 2.18.20 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Faran Abdullah

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-78: Improper Neutralization of Special Elements used in an OS Command (\'OS Command Injection\')

CWE-88: Improper Neutralization of Argument Delimiters in a Command (\'Argument Injection\')