CVE-2026-52742
Açıklama
GoCD bir sürekli teslimat sunucusudur. 12.3.1 ile 26.1.0 sürümleri arasında, /go/admin/restful/* altındaki eski rotalar, yanıtları yönettikleri grupların konfigürasyonuyla sınırlandırmak yerine, geçmişe dönük tam sunucu konfigürasyonunu pipeline grup yöneticilerine ifşa etmektedir. İfşa edilen konfigürasyon; agent otomatik kayıt anahtarlarını, webhook çağırma anahtarlarını, şifrelenmiş materyal kimlik bilgilerini ve GoCD yönetici listelerini içerebilir. Kötü niyetli bir pipeline grup yöneticisi, ifşa edilen agent kayıt verilerini kullanarak uyumlu sahte bir agent bağlayabilir; bu durum, iş alma veya diğer gruplarla ilişkili artefaktların üzerine yazma konusunda daha karmaşık bir yol oluşturabilir. Normal kimliği doğrulanmış kullanıcılar etkilenmemektedir, uç nokta sunucu konfigürasyonunu değiştirmez ve pipeline düzenlemeyi yalnızca tam yöneticilerle veya konfigürasyon depolarıyla sınırlayan dağıtımlar etkilenmemektedir. Bu sorun 26.1.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gocd gocd | >= 12.3.1, < 26.1.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.