CVE-2026-52742
Təsvir
GoCD davamlı çatdırılma serveridir. 12.3.1 versiyasından 26.1.0 versiyasına qədər /go/admin/restful/* altındakı köhnə marşrutlar, cavabları yalnız idarə etdikləri qrupların konfiqurasiyası ilə məhdudlaşdırmaq əvəzinə, boru kəməri (pipeline) qrup administratorlarına bütün server konfiqurasiyasının tarixçəsini açıqlayır. Açılan konfiqurasiyaya agentlərin avtomatik qeydiyyat açarları, webhook çağırma açarları, şifrələnmiş material etibarnamələri və GoCD administrator siyahıları daxil ola bilər. Bədxah boru kəməri qrup administratoru açıqlanmış agent qeydiyyat məlumatlarından istifadə edərək zərərli uyğun agenti qoşa bilər ki, bu da digər qruplarla əlaqəli işlərin qəbul edilməsi və ya artefaktların üzərinə yazılması üçün daha mürəkkəb yol yarada bilər. Normal autentifikasiya olunmuş istifadəçilərə təsir göstərmir, son nöqtə (endpoint) server konfiqurasiyasını dəyişmir və boru kəmərinin redaktəsini yalnız tam administratorlar və ya konfiqurasiya repozitoriyaları ilə məhdudlaşdıran tətbiqlər bundan təsirlənmir. Bu problem 26.1.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| gocd gocd | >= 12.3.1, < 26.1.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.