CVE-2024-28866

GoCD davamlı çatdırılma serveridir. GoCD-nin 19.4.0-dan 23.5.0-a qədər olan versiyaları (daxil olmaqla), kifayət qədər yoxlanılmayan `redirect_to` sorğu parametri vasitəsilə, GoCD işə düşərkən göstərilən yükləmə səhifəsində əks olunmuş saytlararası skriptinq (XSS) boşluğuna qarşı potensial olaraq həssasdır. Hücumçular nəzəri olaraq bu sorğu parametrindən istifadə edərək istifadəçinin brauzerindən sessiya tokenlərini və ya digər dəyərləri oğurlaya bilərlər. Praktikada, bununla imtiyazlı hərəkətlərin yerinə yetirilməsi olduqca çətindir, çünki hədəf istifadəçi serverin işə düşmə prosesində olduğu (lakin tam başlamadığı) müddətdə hücumçu tərəfindən hazırlanmış linki açmalı və bu, ayrıca bir xidmətdən imtina (DoS) boşluğu ilə birləşdirilməlidir. Əlavə olaraq, GoCD serverinin yenidən başladılması əvvəlki sessiya tokenlərini etibarsızlaşdırır (yəni GoCD daimi sessiyaları dəstəkləmir), buna görə də oğurlanmış sessiya tokeni server yenidən başladıqdan sonra istifadə edilməz olacaq və icra edilmiş XSS sistemdən çıxış etmiş kontekstdə baş verəcəkdir. Problem GoCD 24.1.0 versiyasında düzəldilmişdir. Müvəqqəti həll yolu kimi, əvvəlki GoCD versiyalarında GoCD-ni aşağıdakı Java sistem xüsusiyyəti ilə başlatmaqla yükləmə səhifəsini həssas olmayan daha köhnə versiya ilə əvəz etmək texniki cəhətdən mümkündür: `-Dloading.page.resource.path=/loading_pages/default.loading.page.html` (GoCD təqdimatı olmayan sadələşdirilmiş köhnə yükləmə səhifəsi) və ya `-Dloading.page.resource.path=/does_not_exist.html` (interaktivliyi olmayan sadə mesaj göstərmək üçün).