CVE-2026-91778
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W dotkniętych wersjach Octopus Server użytkownicy z określonymi zestawami uprawnień mogli wykonywać dowolne skrypty na workerze, w tym na wbudowanym workerze Octopus Server. Nieprawidłowa walidacja uprawnień podczas wykonywania skryptu pozwalała na jego uruchomienie bez wymaganej autoryzacji.
Ocena ryzyka
Ryzyko nieautoryzowanego wykonania kodu na serwerze, co może prowadzić do przejęcia kontroli nad systemem i naruszenia integralności danych.
Rekomendacja
Zaktualizuj Octopus Server do najnowszej wersji, która zawiera poprawkę tej luki. Przeglądnij i ogranicz zestawy uprawnień użytkowników, aby zminimalizować ryzyko.
Inne podatności w Octopus Server
Zobacz wszystkie- CVE-2026-92355Wysokie
W dotkniętych wersjach Octopus Server użytkownik z uprawnieniami do modyfikowania zewnętrznych źródeł danych (feedów) innych niż wbudowane może wykorzystać podatność na path traversal do nadpisania dowolnych plików na serwerze. W niektórych konfiguracjach może to prowadzić do zdalnego wykonania kodu.
- CVE-2026-14163Wysokie
W niektórych wersjach Octopus Server w określonych okolicznościach wrażliwe zmienne mogą być drukowane w postaci jawnego tekstu w migawce zmiennych wdrożenia.
- CVE-2026-8296Średnie
W dotkniętych wersjach Octopus Server z określonymi poziomami dostępu istniała możliwość osadzenia ładunku Cross-Site Scripting za pomocą artefaktów.
- CVE-2026-4881Średnie
W dotkniętych wersjach Octopus Server nieprawidłowo sprawdzano uprawnienia, co pozwalało każdemu uwierzytelnionemu użytkownikowi na dokonywanie zmian na poziomie serwera za pomocą pewnego endpointu API, mimo otrzymywania błędu.
Oryginalny opis (angielski, źródło NVD)
In affected versions of Octopus Server, users with certain scoped permission sets could execute arbitrary scripts on a worker (including the Octopus Server built-in worker). Incorrect permission validation during script execution would allow the script to execute without the user possessing the required authorisation.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS