CVE-2026-55870 in GoCD
Zusammenfassung
von VulDB • 21.09.2026
GoCD ist ein Continuous-Delivery-Server. Vor Version 26.1.0 kann GoCD unmaskierte Anmeldeinformationen zurückgeben, die Administratoren im userinfo-Abschnitt von URLs der Quellcodeverwaltungsmaterialien über mehrere schreibgeschützte APIs gespeichert haben, die regulären authentifizierten Benutzern zur Verfügung stehen. Obwohl GoCD dedizierte Felder für Benutzername und Passwort oder Plugins zum Secrets-Management empfiehlt, erlaubt die Legacy-Konfiguration Anmeldeinformationen in Material-URLs, und nicht jede Mixed-Use-API wendet das URL-Masking konsistent auf jeden Materialtyp an. Ein authentifizierter Benutzer mit Zugriff auf eine betroffene Pipeline kann in deren Material-URL eingebettete Anmeldeinformationen erhalten, während dedizierte Passwortfelder verschlüsselt bleiben und durch dieses Problem nicht offengelegt werden. Dieses Problem ist in Version 26.1.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.