CVE-2026-55870 in GoCD
Résumé
par VulDB • 21/09/2026
GoCD est un serveur de livraison continue. Avant la version 26.1.0, GoCD peut renvoyer des identifiants non masqués que les administrateurs ont stockés dans la partie userinfo des URL de matériel de contrôle de source via plusieurs API en lecture seule accessibles aux utilisateurs authentifiés réguliers. Bien que GoCD recommande l'utilisation de champs dédiés pour le nom d'utilisateur et le mot de passe, ou de plugins de gestion des secrets, une configuration héritée permet l'insertion d'identifiants dans les URL de matériel, et toutes les API à usage mixte n'appliquent pas systématiquement le masquage des URL pour chaque type de matériel. Un utilisateur authentifié disposant d'un accès à un pipeline concerné peut obtenir les identifiants intégrés dans son URL de matériel, tandis que les champs dédiés aux mots de passe restent chiffrés et ne sont pas exposés par ce problème. Ce problème est corrigé dans la version 26.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.