CVE-2026-102478
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W podatnych wersjach Octopus Server uwierzytelniony użytkownik z uprawnieniem do modyfikacji ról mógł ominąć zabezpieczenia chroniące przed nadużyciem dostępu, co prowadzi do eskalacji uprawnień. Możliwe było osłabienie wbudowanej roli i dodanie konta atakującego do uprzywilejowanego zespołu. Wynikało to z nieprawidłowej walidacji niebezpiecznej równoważności w danych wejściowych.
Ocena ryzyka
Atakujący z uprawnieniem do edycji ról może uzyskać wyższe uprawnienia i dołączyć swoje konto do uprzywilejowanego zespołu, przejmując kontrolę nad krytycznymi funkcjami. Stanowi to poważne ryzyko eskalacji uprawnień w środowisku.
Rekomendacja
Zaktualizuj Octopus Server do wersji zawierającej poprawkę walidacji danych wejściowych. Przejrzyj definicje ról i członkostwo w zespołach pod kątem nieautoryzowanych zmian.
Inne podatności w Octopus Server
Zobacz wszystkie- CVE-2026-12887Średnie
W podatnych wersjach Octopus Server użytkownik z uprawnieniem do przesyłania złośliwego pakietu nuget może wdrożyć krok skryptowy, który wykona się poza katalogiem nadrzędnym.
- CVE-2026-117466Wysokie
W podatnych wersjach Octopus Server użytkownik posiadający rolę System Manager może podnieść swoje uprawnienia do pełnego administratora systemu.
- CVE-2026-117341Wysokie
W Octopus Server tworzenie zaproszenia użytkownika zapisuje kod zaproszenia w dzienniku zdarzeń audytu. Użytkownik przestrzeni z odpowiednimi uprawnieniami może odczytać ten kod i wykorzystać nieodebrane zaproszenie do eskalacji uprawnień, zależnie od uprawnień przypisanych zapraszanemu użytkownikowi.
- CVE-2026-116870Wysokie
W podatnych wersjach Octopus Server walidacja wystawcy tokenów OIDC była przeprowadzana niespójnie. Może to spowodować, że token wystawiony przez odpowiednio skonfigurowanego nielegalnego wystawcę zostanie zaakceptowany jako token należący do konta usługi z zaufanego wystawcy. Wykorzystanie wymaga konta usługi z co najmniej jedną skonfigurowaną tożsamością OIDC oraz znajomości lub odgadnięcia niektórych szczegółów tej tożsamości.
- CVE-2026-78210Wysokie
W dotkniętych wersjach Octopus Server użytkownicy z określonymi zakresami uprawnień mogą wykonywać dowolne skrypty w środowisku bez posiadania wymaganej autoryzacji.
- CVE-2026-118426Średnie
W zagrożonych wersjach Octopus Server z włączonym dostawcą uwierzytelniania LDAP każdy uwierzytelniony użytkownik mógł wywołać wyszukiwanie użytkowników LDAP oraz wyszukiwanie grup LDAP.
- CVE-2026-102488Wysokie
Octopus Server nieprawidłowo ocenia wiele przypisań uprawnień z zasięgiem, co pozwala użytkownikowi o wysokich uprawnieniach uzyskać uprawnienia do wdrożeń wykraczające poza faktycznie przyznane. Problem dotyczy wersji, w których występuje ta błędna logika oceny uprawnień.
- CVE-2026-101169Wysokie
W dotkniętych wersjach Octopus Server, uwierzytelniony użytkownik z uprawnieniami do edycji środowiska lub projektu może ustawić specjalnie spreparowaną zawartość JSON. Niebezpieczna deserializacja tej zawartości pozwala na wykonanie dowolnego kodu w procesie Octopus Server.
- CVE-2026-92355Wysokie
W dotkniętych wersjach Octopus Server użytkownik z uprawnieniami do modyfikowania zewnętrznych źródeł danych (feedów) innych niż wbudowane może wykorzystać podatność na path traversal do nadpisania dowolnych plików na serwerze. W niektórych konfiguracjach może to prowadzić do zdalnego wykonania kodu.
- CVE-2026-91778Wysokie
W dotkniętych wersjach Octopus Server użytkownicy z określonymi zestawami uprawnień mogli wykonywać dowolne skrypty na workerze, w tym na wbudowanym workerze Octopus Server. Nieprawidłowa walidacja uprawnień podczas wykonywania skryptu pozwalała na jego uruchomienie bez wymaganej autoryzacji.
Oryginalny opis (angielski, źródło NVD)
In affected versions of Octopus Server, an authenticated user with permission to modify roles could bypass the protections preventing access abuse resulting in privilege escalation. It was possible for the built-in role to be weakened and the attacker's account added to a privileged team. This was achievable due to improper validation of unsafe equivalence in inputs.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS