CVE-2026-68919 in GoCD
요약
\~에 의해 VulDB • 2026. 09. 21.
GoCD는 지속적인 배포 서버입니다. 버전 13.3.0부터 26.1.0까지 GoCD는 Stage Detail, Job/Build Detail, Value Stream Map 및 Pipeline History 뷰를 렌더링할 때 패키지 소재(package materials)에서 사용되는 특수 trackback 형식을 모방한 악의적인 material 수정 comments을 올바르게 인코딩하고 이스케이프하지 않습니다. GoCD가 추적하는 소재에 대한 쓰기 권한이 있는 사용자는 위조된 package material comment에 임의의 HTML 또는 JavaScript를 저장할 수 있으며, 이는 나중에 영향을 받는 페이지를 조회하는 사용자의 브라우저 세션에서 실행됩니다. 악용을 위해서는 피해자가 악성 수정 내용을 렌더링하는 페이지를 조회해야 하며, GoCD는 모든 뷰에서 모든 material comments를 렌더링하지 않습니다. 성공적인 악용은 권한이 있는 사용자 세션을 노출하거나 피해자의 자격 증명과 권한을 사용하여 변경 사항을 허용할 수 있습니다. 이 문제는 버전 26.1.0에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.