CVE-2022-29182
Açıklama
GoCD bir sürekli teslimat sunucusudur. GoCD 19.11.0 ile 21.4.0 (dahil) arasındaki sürümler, bir pipeline çalışmasının Stage Details > Graphs sekmesi üzerinden Document Object Model (DOM) tabanlı siteler arası betik çalıştırma (XSS) saldırısına karşı savunmasızdır. Saldırgan tarafından barındırılan bir sitedeki kötü amaçlı bir betiğin, ana sayfa ile stage details graph'ın iframe'i arasındaki iletişim için kullanılan bir mesajlaşma kanalını kötüye kullanarak kullanıcının tarayıcı bağlamında ve GoCD oturumunda betik çalıştırması mümkündür. Bu durum, bir saldırganın GoCD kullanıcısının oturum çerezlerini çalmasına ve/veya kullanıcının bağlamında kötü amaçlı kod yürütmesine olanak tanıyabilir. Bu sorun GoCD 22.1.0 sürümünde düzeltilmiştir. Şu anda bilinen herhangi bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| thoughtworks gocd | 19.11.0 ≤ v ≤ 21.4.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.