CVE-2026-52741 in GoCD
Zusammenfassung
von VulDB • 21.09.2026
GoCD ist ein Continuous-Delivery-Server. Von der Version 18.3.0 bis zur Version 26.1.0 kann GoCD nicht maskierte Tracking-Tool-Links aus Commit-Kommentaren generieren, wenn ein Projekt eine lockere Regular Expression für das Tracking Tool mit einer ID-Capturing Group verwendet, wie z. B. JIRA-(.+). Ein Angreifer mit Commit-Zugriff auf ein verfolgtes Material kann URI- oder HTML-Sonderzeichen in einen passenden Commit-Kommentar einfügen, was zu Stored Cross-Site Scripting (XSS) führt, wenn ein Opfer eine betroffene Compare-Pipeline-Seite aufruft. Bereitstellungen ohne Tracking-Tool-Integration, ohne ID-Capturing Group oder mit konservativen Matchern, die keine Sonderzeichen matchen können, sind nicht betroffen. Eine erfolgreiche Ausnutzung kann zu einer Offenlegung der Sitzung eines privilegierten Benutzers führen oder Änderungen unter Verwendung der Anmeldeinformationen und Berechtigungen des Opfers ermöglichen. Dieses Problem ist in Version 26.1.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.