CVE-2026-68919
WysokieCVSS 7.0Streszczenie
W GoCD od wersji 13.3.0 do 26.1.0 narzędzie nie koduje i nie escapuje prawidłowo złośliwych komentarzy modyfikacji materiałów naśladujących specjalny format trackback używany przez materiały pakietowe podczas renderowania widoków Stage Detail, Job/Build Detail, Value Stream Map i Pipeline History. Użytkownik z prawem zapisu do materiału śledzonego przez GoCD może zapisać dowolny HTML lub JavaScript w sfałszowanym komentarzu materiału pakietowego, który wykonuje się w sesji przeglądarki użytkownika przeglądającego później podatną stronę. Wykorzystanie wymaga, aby ofiara wyświetliła stronę renderującą złośliwą modyfikację, a GoCD nie renderuje każdego komentarza materiału w każdym widoku.
Ocena ryzyka
Podatność może narazić uprzywilejowaną sesję użytkownika lub pozwolić na zmiany przy użyciu poświadczeń i uprawnień ofiary. Stanowi to ryzyko przejęcia konta i nieautoryzowanych modyfikacji w systemie CI/CD.
Rekomendacja
Zaktualizuj GoCD do wersji 26.1.0 lub nowszej. Ogranicz prawa zapisu do materiałów śledzonych przez GoCD wyłącznie do zaufanych użytkowników.
Inne podatności w GoCD
Zobacz wszystkie- CVE-2026-55870Niskie
GoCD przed wersją 26.1.0 może zwracać niezamaskowane poświadczenia, które administratorzy zapisali w części userinfo adresów URL materiałów kontroli źródła, poprzez kilka API tylko do odczytu dostępnych dla zwykłych uwierzytelnionych użytkowników. Uwierzytelniony użytkownik z dostępem do dotkniętego pipeline'u może uzyskać poświadczenia osadzone w adresie URL materiału, natomiast dedykowane pola haseł pozostają zaszyfrowane i nie są ujawniane przez ten problem. Problem naprawiono w wersji 26.1.0.
- CVE-2026-55625Średnie
GoCD od wersji 16.1.0 do 26.1.0 ma podatność w wewnętrznych API testowania połączeń materiałowych. Administrator grupy pipeline'ów może wywołać test połączenia dla materiałów poza swoją uprawnioną grupą i potencjalnie użyć danych uwierzytelniających z tych materiałów. Może również rozwiązywać zewnętrzne sekrety zarządzane przez pluginy.
- CVE-2026-55060Niskie
GoCD od wersji 13.1.0 do 26.1.0 nie egzekwuje zamierzonej autoryzacji tylko dla administratora w punkcie /go/api/support/process_list. Uwierzytelniony użytkownik wewnętrzny może odpytać ten punkt, gdy działają procesy potomne kontroli źródła, i zobaczyć argumenty wiersza poleceń, nazwy użytkowników, zdalne adresy URL materiałów oraz wewnętrzne ścieżki materiałów, do których normalnie nie ma dostępu. Wykorzystanie zależy od nieprzewidywalnego czasu procesów, a poświadczenia, zmienne środowiskowe i sekrety zdefiniowane przez użytkownika pozostają zamaskowane lub pominięte. Problem naprawiono w wersji 26.1.0.
- CVE-2026-52743Średnie
API /jobStatus.json w GoCD przed wersją 26.1.0 nie weryfikuje, czy podany identyfikator zadania należy do pipeline'u i stage'a wskazanego w żądaniu. Uwierzytelniony użytkownik może odgadnąć identyfikatory zadań i uzyskać status zadań w pipeline'ach, których nie może przeglądać, w tym nazwy zadań, stan, znaczniki czasu, adresy IP agentów itp.
- CVE-2026-52742Średnie
W GoCD w wersjach od 12.3.1 do 26.1.0 przestarzałe trasy /go/admin/restful/* ujawniają pełną historyczną konfigurację serwera administratorom grup pipeline'ów, zamiast ograniczać odpowiedzi tylko do zarządzanych przez nich grup. Ujawnione dane mogą obejmować klucze auto-rejestracji agentów, klucze wywołań webhooków, zaszyfrowane poświadczenia oraz listy administratorów GoCD.
- CVE-2026-52741Wysokie
GoCD od wersji 18.3.0 do 26.1.0 generuje nieescapowane linki narzędzia śledzenia (Tracking Tool) na podstawie komentarzy commitów, gdy projekt używa łagodnego wyrażenia regularnego z grupą przechwytującą ID, np. JIRA-(.+). Atakujący z prawem zapisu do śledzonego materiału może umieścić znaki specjalne URI lub HTML w pasującym komentarzu commita, co prowadzi do trwałego XSS, gdy ofiara wyświetli stronę Compare Pipeline.
- CVE-2026-52740Średnie
W GoCD w wersjach od 18.7.0 do 26.1.0 API Get Template Config porównuje nazwy metod HTTP z rozróżnianiem wielkości liter przy wyborze filtrów autoryzacji. Użytkownik z niższymi uprawnieniami może wysłać żądanie z niestandardową wielkością liter metody HTTP, aby pobrać szablon pipeline'u po nazwie bez wymaganego uprawnienia view i odczytać jego konfigurację.
Oryginalny opis (angielski, źródło NVD)
GoCD is a continuous deliver server. From 13.3.0 until 26.1.0, GoCD does not correctly encode and escape malicious material modification comments that mimic the special trackback format used by package materials when rendering the Stage Detail, Job/Build Detail, Value Stream Map, and Pipeline History views. A user with write access to a material tracked by GoCD can store arbitrary HTML or JavaScript in a forged package material comment, which executes in the browser session of a user who later views an affected page. Exploitation requires a victim to view a page that renders the malicious modification, and GoCD does not render every material comment in every view. Successful exploitation can expose a privileged user session or allow changes using the victim's credentials and privileges. This issue is fixed in version 26.1.0.