CVE-2026-92993

Nome do Software Vulnerável e Versões Afetadas mayfly-go versões anteriores a 1.11.6

Description Uma falha de injeção de comando de sistema operacional existe no recurso Machine Script, especificamente na função RunMachineScript() localizada no arquivo server/internal/machine/api/machine script.go. Um invasor remoto com permissões machine:script:run e acesso a tags pode executar comandos arbitrários em máquinas que utilizam templates contendo placeholders {{.param}} através da manipulação do argumento params. Além disso, a camada de execução SSH Cli.Run() não aplica filtragem de entrada para nenhum chamador.

Recommendations Atualize o mayfly-go para uma versão posterior à 1.11.5. Como medida de mitigação temporária, restrinja o acesso à função RunMachineScript() e evite o uso de placeholders {{.param}} em templates de máquinas.