CVE-2017-1000106

Blue Ocean, GitHub təşkilatı üçün qovluqların yaradılmasına imkan verir ki, bunlar GitHub təşkilatını Jenkinsfile ehtiva edən repozitoriyalar və budaqlar üçün skan etmək və Jenkins-də müvafiq konveyerlər (pipelines) yaratmaq üçün qurulur. Onun SCM məzmunu REST API-si Blue Ocean-da konveyerin yaradılması və redaktə edilməsi funksiyasını dəstəkləyir. SCM məzmunu REST API-si cari istifadəçinin autentifikasiyasını və ya etibarnamələrini yoxlamırdı. Əgər GitHub təşkilatı qovluğu Blue Ocean vasitəsilə yaradılıbsa, o, yaradıcısının GitHub etibarnamələrinə istinadı saxlayırdı. Bu, GitHub təşkilatı qovluğuna oxuma girişi olan istifadəçilərə həmin qovluğun yaradıcısının GitHub etibarnamələri ilə GitHub təşkilatı daxilindəki müvafiq repozitoriyalarda ixtiyari commit-lər yaratmağa imkan verirdi. Bundan əlavə, GitHub təşkilatı qovluğuna oxuma girişi olan istifadəçilər, əgər budaq Jenkinsfile ehtiva edirsə (hansı ki, bu zəifliyin digər hissəsi vasitəsilə yaradıla bilərdi) və onlar təşkilat qovluğunun adını, repozitoriyanın adını, budağın adını və faylın adını təqdim edə bildikləri təqdirdə, GitHub təşkilatı daxilindəki repozitoriyalardan ixtiyari faylların məzmununu oxuya bilərdilər.