CVE-2024-28866

GoCD bir sürekli teslimat sunucusudur. 19.4.0 ile 23.5.0 (dahil) arasındaki GoCD sürümleri, yetersiz doğrulamaya sahip bir `redirect_to` sorgu parametresinin kötüye kullanılması yoluyla, GoCD başlatılırken görüntülenen yükleme sayfasında yansıtılmış bir siteler arası betik çalıştırma (XSS) zafiyetine karşı potansiyel olarak savunmasızdır. Saldırganlar, teorik olarak kullanıcı tarayıcısından oturum belirteçlerini veya diğer değerleri çalmak için bu sorgu parametresini kötüye kullanabilirler. Uygulamada, bunu ayrıcalıklı eylemler gerçekleştirmek için istismar etmek oldukça zordur; çünkü hedef kullanıcının, sunucunun başladığı ancak henüz tamamen başlamadığı süre zarfında saldırgan tarafından oluşturulmuş bir bağlantıyı açmaya teşvik edilmesi gerekir ve bu durum ayrı bir hizmet reddi (DoS) zafiyeti ile zincirleme işlem yapılmasını gerektirir. Ek olarak, GoCD sunucu yeniden başlatmaları önceki oturum belirteçlerini geçersiz kılar (yani GoCD kalıcı oturumları desteklemez), dolayısıyla çalınan bir oturum belirteci sunucu yeniden başlatmayı tamamladığında kullanılamaz hale gelir ve yürütülen XSS işlemi oturumu kapatılmış bir bağlamda gerçekleşir. Sorun GoCD 24.1.0 sürümünde düzeltilmiştir. Geçici bir çözüm olarak, daha eski GoCD sürümlerinde GoCD'yi şu Java sistem özelliği geçersiz kılmalarıyla başlatarak yükleme sayfasını etkilenmeyen daha eski bir sürümle değiştirmek teknik olarak mümkündür: `-Dloading.page.resource.path=/loading_pages/default.loading.page.html` (GoCD tanıtımı içermeyen daha basit erken sürüm yükleme sayfası) veya `-Dloading.page.resource.path=/does_not_exist.html` (etkileşimi olmayan basit bir mesaj görüntülemek için).