https://alertas.dupin.com.ar/fabricante/jhuckaby/Alertas de vulnerabilidades de jhuckaby.esThu, 05 Nov 2026 21:39:05 +000010https://alertas.dupin.com.ar/cve/CVE-2026-85076/tg:63569Thu, 05 Nov 2026 21:39:05 +0000VulnerabilidadAntes de 0.9.124, un usuario autenticado no administrador con privilegios run_events, create_events o edit_events puede enviar claves no declaradas en los parámetros de eventos mediante api_create_event, api_update_event o api_run_event; lib/api.js y lib/api/event.js validan el objeto de parámetros sin restringir sus claves, y lib/job.js convierte esas claves a mayúsculas y las aplica al entorno del proceso hijo después de las variables definidas por el administrador. Una clave que colisione con una variable de…https://alertas.dupin.com.ar/cve/CVE-2026-58255/tg:61654Wed, 28 Oct 2026 02:04:53 +0000VulnerabilidadUn usuario no administrador o una clave de API con alcance limitado y privilegios create_events y run_events puede inyectar los campos uid y gid a través de /api/app/create_event o /api/app/update_event, que se almacenan sin validar y llegan al lanzamiento del proceso hijo. En instalaciones con el daemon como root, esto permite ejecutar trabajos como usuarios arbitrarios, incluido root. La versión 0.9.121 corrige el problema.