CVE-2026-52741
Açıklama
GoCD bir sürekli teslimat sunucusudur. 18.3.0 ile 26.1.0 sürümleri arasında GoCD, bir proje JIRA-(.+) gibi kimlik yakalama grubu içeren esnek bir Tracking Tool düzenli ifadesi kullandığında, commit yorumlarından kaçış karakterleri uygulanmamış takip aracı bağlantıları oluşturabilir. Takip edilen bir materyale commit erişimi olan bir saldırgan, eşleşen bir commit yorumuna URI veya HTML özel karakterleri yerleştirerek, kurban etkilenen bir Compare Pipeline sayfasını görüntülediğinde saklı siteler arası betik çalıştırma (XSS) oluşmasına neden olabilir. Tracking Tool entegrasyonu olmayan, kimlik yakalama grubu bulunmayan veya özel karakterlerle eşleşemeyen muhafazakar eşleştiricilere sahip dağıtımlar etkilenmemektedir. Başarılı istismar, ayrıcalıklı bir kullanıcı oturumunu ifşa edebilir veya kurbanın kimlik bilgileri ve yetkilerini kullanarak değişiklik yapılmasına izin verebilir. Bu sorun 26.1.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gocd gocd | >= 18.3.0, < 26.1.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.