جزئیات آسیب‌پذیری
CVE-2026-91994
semaphoreui semaphore
Semaphore UI through 2.19.12 Missing Authorization on GET and HEAD Requests
CVSS 4.0
7.1بالا
شرح رسمی (انگلیسی)
Semaphore UI through 2.19.12 exempts GET and HEAD requests from project resource permission checks in GetMustCanMiddleware. Attackers with guest or task_runner roles can read all project environments including plaintext secrets, credentials, and passwords via GET requests to the environment endpoint.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.1بالا | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
| 6.5متوسط | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| semaphoreui | semaphore | v ≤ 2.19.12 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۵- https://github.com/semaphoreui/semaphore/issues/4150 issue-trackingexploit
- https://github.com/semaphoreui/semaphore/blob/v2.19.12/api/projects/project.go#L89-L106 technical-description
- https://github.com/semaphoreui/semaphore/blob/v2.19.12/api/router.go#L308-L329 technical-description
- https://github.com/semaphoreui/semaphore product
- https://www.vulncheck.com/advisories/semaphore-ui-through-2.19.12-missing-authorization-on-get-and-head-requests third-party-advisory
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۶/۲۴
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۷/۰۲
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- VulnCheck
پیش‌بینی بهره‌برداری (EPSS)
۰٫۴۱٪
احتمال بهره‌برداری در ۳۰ روز
۳۵٫۹٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- اثبات مفهوم
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-862Missing Authorization