CVE-2026-112305

Semaphore UI 2.19.16 sürümüne kadar olan versiyonlar, task_runner rolüne sahip kullanıcıların görev ortamı JSON'unda rastgele anahtarlar sağlayarak korumalı Ansible değişkenlerini geçersiz kılmalarına izin veren bir uzaktan kod çalıştırma zafiyeti içermektedir. Saldırganlar, şifreleme anahtarlarını, SSH anahtarlarını ve saklanan gizli bilgileri açığa çıkararak Semaphore sunucu kullanıcısı olarak komut çalıştırmak için ProxyCommand ile ansible_ssh_common_args veya ansible_connection=local ayarlayan görevler POST edebilirler.