- Yama var
- Son 7 gün
- CWE-532
CVE-2026-117341
Octopus Server'da davet kodunun denetim günlüğüne yazılması sorunu
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- Octopus
Yönetici özeti
Bu açık, sistemde yetkili bir kullanıcının başkasına ait davet kodunu görüp hesap yetkisini yükseltmesine olanak tanıyabilir. Riskin büyüklüğü verilen kullanıcı izinlerine bağlıdır, ancak sızıntının ciddiyeti nedeniyle güncellemenin öncelikli yapılması önerilir.
ÖzetTürkçe
Octopus Server'da kullanıcı daveti oluşturulduğunda davet kodu denetim olay günlüğüne yazılmaktadır. Davet bir alana bağlıysa, o alandaki ve uygun izinlere sahip bir kullanıcı bu kodu denetim olayından okuyabilir. Etkilenen sürümler 2019.0.0 ile 2026.2.13438 öncesi ile 2026.3.0 ile 2026.3.15829 öncesidir.
Saldırgan ne yapabilir?
Saldırgan, henüz kullanılmamış bir daveti kendi adına kullanarak yetkisini artırabilir; ancak bunun gerçekleşmesi davetle eklenen kullanıcıya verilen izinlere bağlıdır.
Kaynaktaki açıklama (İngilizce)
In affected versions of Octopus Server, creating a user invitation writes the invitation code to the audit event log. When the invitation is linked to a space, a user in that space with appropriate permissions could read the code from the audit event. Successfully exploiting this by redeeming the unclaimed invitation could allow the user to escalate privileges however this is dependant on the permissions assigned for the invited user.
Ne yapmalı?
- Octopus Server'ı etkilenen sürümlerden, 2026.2.13438 veya 2026.3.15829 ve sonrasına yükseltin (kullandığınız dal hangisiyse ona uygun sürüm). Üretici
- Güncelleme öncesinde kullanılmamış davetleri gözden geçirin ve şüpheli veya gereksiz olanları iptal edin. Genel öneri
- Alanlara bağlı davetlerin oluşturulduğu kullanıcı hesaplarının izinlerini kontrol edip gereğinden fazla yetki verilmiş olanları düşürün. Genel öneri
Ek önlemler
- Denetim olay günlüğüne erişimi yalnızca gerekli yöneticilerle sınırlandırın. Genel öneri
- Güncelleme sonrasında yeni davetlerin denetim günlüğünde davet kodu içerip içermediğini kontrol edin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Octopus Deploy Octopus Server | ≥ 2019.0.0, < 2026.2.13438 | 2026.2.13438 |
| ≥ 2026.3.0, < 2026.3.15829 | 2026.3.15829 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.