Podatności Octopus Server

W dotkniętych wersjach Octopus Server użytkownik z uprawnieniami do modyfikowania zewnętrznych źródeł danych (feedów) innych niż wbudowane może wykorzystać podatność na path traversal do nadpisania dowolnych plików na serwerze. W niektórych konfiguracjach może to prowadzić do zdalnego wykonania kodu.

W dotkniętych wersjach Octopus Server użytkownicy z określonymi zestawami uprawnień mogli wykonywać dowolne skrypty na workerze, w tym na wbudowanym workerze Octopus Server. Nieprawidłowa walidacja uprawnień podczas wykonywania skryptu pozwalała na jego uruchomienie bez wymaganej autoryzacji.

W niektórych wersjach Octopus Server w określonych okolicznościach wrażliwe zmienne mogą być drukowane w postaci jawnego tekstu w migawce zmiennych wdrożenia.

W dotkniętych wersjach Octopus Server z określonymi poziomami dostępu istniała możliwość osadzenia ładunku Cross-Site Scripting za pomocą artefaktów.

W dotkniętych wersjach Octopus Server nieprawidłowo sprawdzano uprawnienia, co pozwalało każdemu uwierzytelnionemu użytkownikowi na dokonywanie zmian na poziomie serwera za pomocą pewnego endpointu API, mimo otrzymywania błędu.