CVE-2026-4881
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W dotkniętych wersjach Octopus Server nieprawidłowo sprawdzano uprawnienia, co pozwalało każdemu uwierzytelnionemu użytkownikowi na dokonywanie zmian na poziomie serwera za pomocą pewnego endpointu API, mimo otrzymywania błędu.
Ocena ryzyka
Brak prawidłowej kontroli uprawnień może umożliwić nieuprawnionym użytkownikom modyfikację konfiguracji serwera, co może prowadzić do naruszenia bezpieczeństwa lub przerwania działania.
Rekomendacja
Należy zaktualizować Octopus Server do najnowszej wersji zawierającej poprawkę. Sprawdź logi dostępu do API w poszukiwaniu podejrzanych działań.
Inne podatności w Octopus Server
Zobacz wszystkie- CVE-2026-14163Wysokie
W niektórych wersjach Octopus Server w określonych okolicznościach wrażliwe zmienne mogą być drukowane w postaci jawnego tekstu w migawce zmiennych wdrożenia.
- CVE-2026-8296Średnie
W dotkniętych wersjach Octopus Server z określonymi poziomami dostępu istniała możliwość osadzenia ładunku Cross-Site Scripting za pomocą artefaktów.
Oryginalny opis (angielski, źródło NVD)
In affected versions of Octopus Server, permissions were not checked correctly resulting in any authenticated user being able to make server level changes using a certain API endpoint despite receiving an error.