CVE-2026-55060
NiskieCVSS 3.7Streszczenie
GoCD od wersji 13.1.0 do 26.1.0 nie egzekwuje zamierzonej autoryzacji tylko dla administratora w punkcie /go/api/support/process_list. Uwierzytelniony użytkownik wewnętrzny może odpytać ten punkt, gdy działają procesy potomne kontroli źródła, i zobaczyć argumenty wiersza poleceń, nazwy użytkowników, zdalne adresy URL materiałów oraz wewnętrzne ścieżki materiałów, do których normalnie nie ma dostępu. Wykorzystanie zależy od nieprzewidywalnego czasu procesów, a poświadczenia, zmienne środowiskowe i sekrety zdefiniowane przez użytkownika pozostają zamaskowane lub pominięte. Problem naprawiono w wersji 26.1.0.
Ocena ryzyka
Uwierzytelniony użytkownik wewnętrzny może uzyskać informacje o materiałach i konfiguracji, do których nie powinien mieć dostępu, co może ułatwić dalsze ataki i ujawnienie wrażliwych danych.
Rekomendacja
Zaktualizuj GoCD do wersji 26.1.0 lub nowszej, aby wymusić autoryzację administratora w punkcie process_list.
Inne podatności w GoCD
Zobacz wszystkie- CVE-2026-68919Wysokie
W GoCD od wersji 13.3.0 do 26.1.0 narzędzie nie koduje i nie escapuje prawidłowo złośliwych komentarzy modyfikacji materiałów naśladujących specjalny format trackback używany przez materiały pakietowe podczas renderowania widoków Stage Detail, Job/Build Detail, Value Stream Map i Pipeline History. Użytkownik z prawem zapisu do materiału śledzonego przez GoCD może zapisać dowolny HTML lub JavaScript w sfałszowanym komentarzu materiału pakietowego, który wykonuje się w sesji przeglądarki użytkownika przeglądającego później podatną stronę. Wykorzystanie wymaga, aby ofiara wyświetliła stronę renderującą złośliwą modyfikację, a GoCD nie renderuje każdego komentarza materiału w każdym widoku.
- CVE-2026-55870Niskie
GoCD przed wersją 26.1.0 może zwracać niezamaskowane poświadczenia, które administratorzy zapisali w części userinfo adresów URL materiałów kontroli źródła, poprzez kilka API tylko do odczytu dostępnych dla zwykłych uwierzytelnionych użytkowników. Uwierzytelniony użytkownik z dostępem do dotkniętego pipeline'u może uzyskać poświadczenia osadzone w adresie URL materiału, natomiast dedykowane pola haseł pozostają zaszyfrowane i nie są ujawniane przez ten problem. Problem naprawiono w wersji 26.1.0.
- CVE-2026-55625Średnie
GoCD od wersji 16.1.0 do 26.1.0 ma podatność w wewnętrznych API testowania połączeń materiałowych. Administrator grupy pipeline'ów może wywołać test połączenia dla materiałów poza swoją uprawnioną grupą i potencjalnie użyć danych uwierzytelniających z tych materiałów. Może również rozwiązywać zewnętrzne sekrety zarządzane przez pluginy.
- CVE-2026-52743Średnie
API /jobStatus.json w GoCD przed wersją 26.1.0 nie weryfikuje, czy podany identyfikator zadania należy do pipeline'u i stage'a wskazanego w żądaniu. Uwierzytelniony użytkownik może odgadnąć identyfikatory zadań i uzyskać status zadań w pipeline'ach, których nie może przeglądać, w tym nazwy zadań, stan, znaczniki czasu, adresy IP agentów itp.
- CVE-2026-52742Średnie
W GoCD w wersjach od 12.3.1 do 26.1.0 przestarzałe trasy /go/admin/restful/* ujawniają pełną historyczną konfigurację serwera administratorom grup pipeline'ów, zamiast ograniczać odpowiedzi tylko do zarządzanych przez nich grup. Ujawnione dane mogą obejmować klucze auto-rejestracji agentów, klucze wywołań webhooków, zaszyfrowane poświadczenia oraz listy administratorów GoCD.
- CVE-2026-52741Wysokie
GoCD od wersji 18.3.0 do 26.1.0 generuje nieescapowane linki narzędzia śledzenia (Tracking Tool) na podstawie komentarzy commitów, gdy projekt używa łagodnego wyrażenia regularnego z grupą przechwytującą ID, np. JIRA-(.+). Atakujący z prawem zapisu do śledzonego materiału może umieścić znaki specjalne URI lub HTML w pasującym komentarzu commita, co prowadzi do trwałego XSS, gdy ofiara wyświetli stronę Compare Pipeline.
- CVE-2026-52740Średnie
W GoCD w wersjach od 18.7.0 do 26.1.0 API Get Template Config porównuje nazwy metod HTTP z rozróżnianiem wielkości liter przy wyborze filtrów autoryzacji. Użytkownik z niższymi uprawnieniami może wysłać żądanie z niestandardową wielkością liter metody HTTP, aby pobrać szablon pipeline'u po nazwie bez wymaganego uprawnienia view i odczytać jego konfigurację.
Oryginalny opis (angielski, źródło NVD)
GoCD is a continuous deliver server. From 13.1.0 until 26.1.0, the /go/api/support/process_list endpoint does not enforce its intended administrator-only authorization. An authenticated internal user can query the endpoint while source control child processes are running and view command-line arguments, usernames, remote material URLs, and internal material paths for materials the user cannot otherwise access. Exploitation depends on unpredictable process timing, and credentials, environment variables, and user-defined secrets remain masked or omitted. This issue is fixed in version 26.1.0.