CVE-2026-68919
Təsvir
GoCD davamlı çatdırılma serveridir. 13.3.0 versiyasından 26.1.0 versiyasına qədər olan dövrdə GoCD, Stage Detail, Job/Build Detail, Value Stream Map və Pipeline History görüntülərini render edərkən paket materialları tərəfindən istifadə olunan xüsusi trackback formatını təqlid edən zərərli material dəyişikliyi şərhlərini düzgün şəkildə kodlaşdırmır və escape etmir. GoCD tərəfindən izlənilən materiala yazı girişi olan istifadəçi saxtalaşdırılmış paket materialı şərhində ixtiyari HTML və ya JavaScript saxlay bilər ki, bu da daha sonra təsirə məruz qalmış səhifəni baxan istifadəçinin brauzer sessiyasında icra olunur. Eksploytasiya üçün qurbanın zərərli dəyişikliyin render olunduğu səhifəyə baxması tələb olunur və GoCD hər bir material şərhini hər bir görüntüde render etmir. Uğurlu eksploytasiya imtiyazlı istifadəçi sessiyasını ifşa edə bilər və ya qurbanın etibarnamələri və imtiyazlarından istifadə edərək dəyişikliklər edilməsinə şərait yarada bilər. Bu problem 26.1.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| gocd gocd | >= 13.3.0, < 26.1.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.