CVE-2026-5366
Git-Argumentinjektion in prefecthq/prefect
- Veröffentlicht
- 20.06.2026
- Aktualisiert
- 22.06.2026
- CNA zuweisen
- @huntr_ai
- Beweise beobachtet
- 08.08.2026
Primäres CVSS
nvd · CVSS 3.0
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HNiedrig · nächste 30 Tage
- Perzentil
- 62,9 %
- Modelldatum
- 13.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Prefect Version 3.6.23 ist anfällig für Remote-Codeausführung aufgrund unsachgemäßer Verarbeitung von benutzergesteuerten Eingaben in der Speicherklasse `GitRepository`. Dem Parameter `commit_sha`, der an Git-Befehle übergeben wird, fehlt die Validierung, und er enthält keinen `--`-Trenner, um Benutzereingaben von Git-Flags zu unterscheiden. Dies ermöglicht es Angreifern, beliebige Git-Flags wie `--upload-pack` zu injizieren, wodurch die Ausführung externer Programme ermöglicht wird. Darüber hinaus kann der Parameter `directories` ausgenutzt werden, um während Sparse-Checkout-Operationen Git-Flags zu injizieren. Diese Schwachstellen ermöglichen es jedem Benutzer mit Berechtigungen zur Erstellung von Deployments, beliebige Befehle auf Worker-Maschinen auszuführen, wodurch gemeinsame Work-Pools in Multi-Tenant-Umgebungen gefährdet werden.
Quellen
PoC für CVE-2026-5366: git-Argument-Injection in Prefects GitRepository führt zu RCE auf dem Worker.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.