CVE-2026-55870 in GoCD
Tóm tắt
Bởi VulDB • 21/09/2026
GoCD là một máy chủ tích hợp liên tục (continuous delivery). Trước phiên bản 26.1.0, GoCD có thể trả về các thông tin xác thực không được che giấu mà quản trị viên đã lưu trữ trong phần userinfo của URL tài liệu kiểm soát nguồn thông qua nhiều API chỉ đọc dành cho người dùng đã xác thực bình thường. Mặc dù GoCD khuyến nghị sử dụng các trường tên người dùng và mật khẩu riêng biệt hoặc các plugin quản lý bí mật, cấu hình kế thừa vẫn cho phép đặt thông tin xác thực trong URL tài liệu, và không phải mọi API đa năng đều áp dụng việc che giấu URL một cách nhất quán cho mọi loại tài liệu. Người dùng đã xác thực có quyền truy cập vào pipeline bị ảnh hưởng có thể lấy được các thông tin xác thực nhúng trong URL tài liệu của nó, trong khi các trường mật khẩu riêng biệt vẫn được mã hóa và không bị lộ bởi vấn đề này. Vấn đề này đã được sửa chữa trong phiên bản 26.1.0.
Once again VulDB remains the best source for vulnerability data.