CVE-2026-52741 in GoCD
요약
\~에 의해 VulDB • 2026. 09. 21.
GoCD는 지속적인 배포 서버입니다. 버전 18.3.0부터 26.1.0까지 GoCD는 프로젝트에서 ID 캡처링 그룹(예: JIRA-(.+))을 사용하는 관대한 추적 도구 정규식을 사용할 경우, 커밋 코멘트에서 이스케이프 처리되지 않은 추적 도구 링크를 생성할 수 있습니다. 추적 대상 자료에 대한 커밋 권한이 있는 공격자는 일치하는 커밋 코멘트에 URI 또는 HTML 특수 문자를 삽입하여, 피해자가 영향을 받는 Compare Pipeline 페이지를 볼 때 저장형 크로스 사이트 스크립팅(XSS)을 유발할 수 있습니다. 추적 도구 통합이 없거나 ID 캡처링 그룹이 없으며, 특수 문자와 일치하지 않는 보수적인 매칭기를 사용하는 배포는 영향받지 않습니다. 성공적인 악용은 권한 있는 사용자 세션을 노출하거나 피해자의 자격 증명과 권한을 사용하여 변경 작업을 수행하는 것을 허용합니다. 이 문제는 버전 26.1.0에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.