In Octopus Deploy version 2018.5.1 to 2018.5.7, a user with Task View is able to view a password for a Service Fabric Cluster, when the Serv

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• octopus octopus server2018.5.1 ve sonrası · 2018.5.7 dahil

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2022-2572In affected versions of Octopus Server where access is managed by an external authentication provider, it was possible that the API key/keys
  39İzleyin
• CVE-2022-2778In affected versions of Octopus Deploy it is possible to bypass rate limiting on login using null bytes.
  39İzleyin
• CVE-2018-18850In Octopus Deploy 2018.8.0 through 2018.9.x before 2018.9.1, an authenticated user with permission to modify deployment processes could uplo
  39İzleyin
• CVE-2018-11320In Octopus Deploy 2018.4.4 through 2018.5.1, Octopus variables that are sourced from the target do not have sensitive values obfuscated in t
  39İzleyin
• CVE-2022-2782In affected versions of Octopus Server it is possible for a session token to be valid indefinitely due to improper validation of the session
  36İzleyin
• CVE-2022-4009In affected versions of Octopus Deploy it is possible for a user to introduce code via offline package creation
  35İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Eklenti işlevi için gerekenden geniş izin istiyor ve topladığı veriyi amacı dışında dışarı gönderiyor.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.