CVE-2026-8296
ŚrednieCVSS 5.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W dotkniętych wersjach Octopus Server z określonymi poziomami dostępu istniała możliwość osadzenia ładunku Cross-Site Scripting za pomocą artefaktów.
Ocena ryzyka
Atakujący mógł wykorzystać tę podatność do wstrzyknięcia złośliwego skryptu, co mogło prowadzić do kradzieży danych lub przejęcia sesji użytkownika.
Rekomendacja
Zaleca się aktualizację Octopus Server do najnowszej wersji oraz przegląd poziomów dostępu, aby zminimalizować ryzyko osadzenia złośliwego kodu.
Inne podatności w Octopus Server
Zobacz wszystkie- CVE-2026-78210Wysokie
W dotkniętych wersjach Octopus Server użytkownicy z określonymi zakresami uprawnień mogą wykonywać dowolne skrypty w środowisku bez posiadania wymaganej autoryzacji.
- CVE-2026-102488Wysokie
Octopus Server nieprawidłowo ocenia wiele przypisań uprawnień z zasięgiem, co pozwala użytkownikowi o wysokich uprawnieniach uzyskać uprawnienia do wdrożeń wykraczające poza faktycznie przyznane. Problem dotyczy wersji, w których występuje ta błędna logika oceny uprawnień.
- CVE-2026-102478Wysokie
W podatnych wersjach Octopus Server uwierzytelniony użytkownik z uprawnieniem do modyfikacji ról mógł ominąć zabezpieczenia chroniące przed nadużyciem dostępu, co prowadzi do eskalacji uprawnień. Możliwe było osłabienie wbudowanej roli i dodanie konta atakującego do uprzywilejowanego zespołu. Wynikało to z nieprawidłowej walidacji niebezpiecznej równoważności w danych wejściowych.
- CVE-2026-101169Wysokie
W dotkniętych wersjach Octopus Server, uwierzytelniony użytkownik z uprawnieniami do edycji środowiska lub projektu może ustawić specjalnie spreparowaną zawartość JSON. Niebezpieczna deserializacja tej zawartości pozwala na wykonanie dowolnego kodu w procesie Octopus Server.
- CVE-2026-92355Wysokie
W dotkniętych wersjach Octopus Server użytkownik z uprawnieniami do modyfikowania zewnętrznych źródeł danych (feedów) innych niż wbudowane może wykorzystać podatność na path traversal do nadpisania dowolnych plików na serwerze. W niektórych konfiguracjach może to prowadzić do zdalnego wykonania kodu.
- CVE-2026-91778Wysokie
W dotkniętych wersjach Octopus Server użytkownicy z określonymi zestawami uprawnień mogli wykonywać dowolne skrypty na workerze, w tym na wbudowanym workerze Octopus Server. Nieprawidłowa walidacja uprawnień podczas wykonywania skryptu pozwalała na jego uruchomienie bez wymaganej autoryzacji.
- CVE-2026-14163Wysokie
W niektórych wersjach Octopus Server w określonych okolicznościach wrażliwe zmienne mogą być drukowane w postaci jawnego tekstu w migawce zmiennych wdrożenia.
- CVE-2026-4881Średnie
W dotkniętych wersjach Octopus Server nieprawidłowo sprawdzano uprawnienia, co pozwalało każdemu uwierzytelnionemu użytkownikowi na dokonywanie zmian na poziomie serwera za pomocą pewnego endpointu API, mimo otrzymywania błędu.
Oryginalny opis (angielski, źródło NVD)
In affected versions of Octopus Server with certain access levels it was possible to embed a Cross-Site Scripting Payload via artifacts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS