CVE-2026-52741
WysokieCVSS 7.5Streszczenie
GoCD od wersji 18.3.0 do 26.1.0 generuje nieescapowane linki narzędzia śledzenia (Tracking Tool) na podstawie komentarzy commitów, gdy projekt używa łagodnego wyrażenia regularnego z grupą przechwytującą ID, np. JIRA-(.+). Atakujący z prawem zapisu do śledzonego materiału może umieścić znaki specjalne URI lub HTML w pasującym komentarzu commita, co prowadzi do trwałego XSS, gdy ofiara wyświetli stronę Compare Pipeline.
Ocena ryzyka
Udana eksploatacja może ujawnić sesję uprzywilejowanego użytkownika lub pozwolić na zmiany z użyciem jego poświadczeń i uprawnień. Wdrożenia bez integracji Tracking Tool, bez grupy przechwytującej ID lub z restrykcyjnymi matcherami nie są podatne.
Rekomendacja
Zaktualizuj GoCD do wersji 26.1.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, zweryfikuj konfigurację Tracking Tool i unikaj łagodnych wyrażeń regularnych z grupą przechwytującą ID.
Inne podatności w GoCD
Zobacz wszystkie- CVE-2026-68919Wysokie
W GoCD od wersji 13.3.0 do 26.1.0 narzędzie nie koduje i nie escapuje prawidłowo złośliwych komentarzy modyfikacji materiałów naśladujących specjalny format trackback używany przez materiały pakietowe podczas renderowania widoków Stage Detail, Job/Build Detail, Value Stream Map i Pipeline History. Użytkownik z prawem zapisu do materiału śledzonego przez GoCD może zapisać dowolny HTML lub JavaScript w sfałszowanym komentarzu materiału pakietowego, który wykonuje się w sesji przeglądarki użytkownika przeglądającego później podatną stronę. Wykorzystanie wymaga, aby ofiara wyświetliła stronę renderującą złośliwą modyfikację, a GoCD nie renderuje każdego komentarza materiału w każdym widoku.
- CVE-2026-55870Niskie
GoCD przed wersją 26.1.0 może zwracać niezamaskowane poświadczenia, które administratorzy zapisali w części userinfo adresów URL materiałów kontroli źródła, poprzez kilka API tylko do odczytu dostępnych dla zwykłych uwierzytelnionych użytkowników. Uwierzytelniony użytkownik z dostępem do dotkniętego pipeline'u może uzyskać poświadczenia osadzone w adresie URL materiału, natomiast dedykowane pola haseł pozostają zaszyfrowane i nie są ujawniane przez ten problem. Problem naprawiono w wersji 26.1.0.
- CVE-2026-55625Średnie
GoCD od wersji 16.1.0 do 26.1.0 ma podatność w wewnętrznych API testowania połączeń materiałowych. Administrator grupy pipeline'ów może wywołać test połączenia dla materiałów poza swoją uprawnioną grupą i potencjalnie użyć danych uwierzytelniających z tych materiałów. Może również rozwiązywać zewnętrzne sekrety zarządzane przez pluginy.
- CVE-2026-55060Niskie
GoCD od wersji 13.1.0 do 26.1.0 nie egzekwuje zamierzonej autoryzacji tylko dla administratora w punkcie /go/api/support/process_list. Uwierzytelniony użytkownik wewnętrzny może odpytać ten punkt, gdy działają procesy potomne kontroli źródła, i zobaczyć argumenty wiersza poleceń, nazwy użytkowników, zdalne adresy URL materiałów oraz wewnętrzne ścieżki materiałów, do których normalnie nie ma dostępu. Wykorzystanie zależy od nieprzewidywalnego czasu procesów, a poświadczenia, zmienne środowiskowe i sekrety zdefiniowane przez użytkownika pozostają zamaskowane lub pominięte. Problem naprawiono w wersji 26.1.0.
- CVE-2026-52743Średnie
API /jobStatus.json w GoCD przed wersją 26.1.0 nie weryfikuje, czy podany identyfikator zadania należy do pipeline'u i stage'a wskazanego w żądaniu. Uwierzytelniony użytkownik może odgadnąć identyfikatory zadań i uzyskać status zadań w pipeline'ach, których nie może przeglądać, w tym nazwy zadań, stan, znaczniki czasu, adresy IP agentów itp.
- CVE-2026-52742Średnie
W GoCD w wersjach od 12.3.1 do 26.1.0 przestarzałe trasy /go/admin/restful/* ujawniają pełną historyczną konfigurację serwera administratorom grup pipeline'ów, zamiast ograniczać odpowiedzi tylko do zarządzanych przez nich grup. Ujawnione dane mogą obejmować klucze auto-rejestracji agentów, klucze wywołań webhooków, zaszyfrowane poświadczenia oraz listy administratorów GoCD.
- CVE-2026-52740Średnie
W GoCD w wersjach od 18.7.0 do 26.1.0 API Get Template Config porównuje nazwy metod HTTP z rozróżnianiem wielkości liter przy wyborze filtrów autoryzacji. Użytkownik z niższymi uprawnieniami może wysłać żądanie z niestandardową wielkością liter metody HTTP, aby pobrać szablon pipeline'u po nazwie bez wymaganego uprawnienia view i odczytać jego konfigurację.
Oryginalny opis (angielski, źródło NVD)
GoCD is a continuous deliver server. From 18.3.0 until 26.1.0, GoCD can generate unescaped tracking-tool links from commit comments when a project uses a lenient Tracking Tool regular expression with an ID capturing group, such as JIRA-(.+). An attacker with commit access to a tracked material can place URI or HTML special characters in a matching commit comment, causing stored cross-site scripting when a victim views an affected Compare Pipeline page. Deployments without Tracking Tool integration, without an ID capturing group, or with conservative matchers that cannot match special characters are not affected. Successful exploitation can expose a privileged user session or allow changes using the victim's credentials and privileges. This issue is fixed in version 26.1.0.