CVE-2026-68919
Açıklama
GoCD bir sürekli teslimat sunucusudur. 13.3.0 ile 26.1.0 sürümleri arasında GoCD; Stage Detail, Job/Build Detail, Value Stream Map ve Pipeline History görünümlerini oluştururken, paket materyalleri tarafından kullanılan özel trackback formatını taklit eden kötü niyetli materyal değişiklik yorumlarını doğru şekilde kodlamamakta ve kaçış karakterlerini uygulamamaktadır. GoCD tarafından takip edilen bir materyale yazma erişimi olan bir kullanıcı, sahte bir paket materyal yorumunda rastgele HTML veya JavaScript depolayabilir ve bu içerik, daha sonra etkilenen sayfayı görüntüleyen bir kullanıcının tarayıcı oturumunda çalışır. İstismar edilmesi için kurbanın kötü niyetli değişikliği oluşturan bir sayfayı görüntülemesi gerekir ve GoCD her görünümde her materyal yorumunu işlemez. Başarılı bir istismar, ayrıcalıklı bir kullanıcı oturumunu ifşa edebilir veya kurbanın kimlik bilgileri ve yetkilerini kullanarak değişiklikler yapılmasına izin verebilir. Bu sorun 26.1.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gocd gocd | >= 13.3.0, < 26.1.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.