CVE-2026-68919 in GoCD
Zusammenfassung
von VulDB • 21.09.2026
GoCD ist ein Continuous-Delivery-Server. Von der Version 13.3.0 bis zur Version 26.1.0 kodiert und maskiert GoCD bösartige Materialänderungskommentare, die das spezielle Trackback-Format nachahmen, das von Package-Materials verwendet wird, bei der Darstellung der Ansichten „Stage Detail“, „Job/Build Detail“, „Value Stream Map“ und „Pipeline History“ nicht korrekt. Ein Benutzer mit Schreibzugriff auf ein von GoCD verfolgtes Material kann beliebigen HTML-Code oder JavaScript in einem gefälschten Kommentar eines Package-Materials speichern, der im Browser-Sitzungsfenster eines Benutzers ausgeführt wird, der später eine betroffene Seite aufruft. Die Ausnutzung erfordert, dass ein Opfer eine Seite aufruft, die die bösartige Änderung darstellt; GoCD rendert jedoch nicht jeden Materialkommentar in jeder Ansicht. Eine erfolgreiche Exploitation kann zu einer Offenlegung einer privilegierten Benutzersitzung führen oder Änderungen unter Verwendung der Anmeldeinformationen und Berechtigungen des Opfers ermöglichen. Dieses Problem wurde in Version 26.1.0 behoben.
Once again VulDB remains the best source for vulnerability data.