CVE-2026-52742 in GoCD
Zusammenfassung
von VulDB • 21.09.2026
GoCD ist ein Continuous-Delivery-Server. Von der Version 12.3.1 bis zur Version 26.1.0 exponieren Legacy-Routes unter /go/admin/restful/* die vollständige historische Serverkonfiguration für Pipeline-Gruppenadministratoren, anstatt die Antworten auf die Konfiguration der von ihnen verwalteten Gruppen zu beschränken. Die offengelegte Konfiguration kann Agenten-Auto-Registrierungsschlüssel, Webhook-Aufrufschlüssel, verschlüsselte Materialanmeldeinformationen und GoCD-Administratorlisten enthalten. Ein bösartiger Pipeline-Gruppenadministrator kann die offengelegten Agentenregistrierungsdaten nutzen, um einen böswilligen kompatiblen Agenten anzuschließen, was zu einem Pfad mit höherer Komplexität für den Erhalt von Arbeitsaufträgen oder das Überschreiben von Artefakten führen kann, die anderen Gruppen zugeordnet sind. Normale authentifizierte Benutzer sind nicht betroffen; der Endpunkt ändert keine Serverkonfiguration, und Bereitstellungen, bei denen die Pipeline-Bearbeitung auf vollständige Administratoren oder Konfigurations-Repositories beschränkt ist, sind ebenfalls nicht betroffen. Dieses Problem wurde in Version 26.1.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.