- Yama var
- Son 7 gün
CVE-2026-12887
Octopus Server'da NuGet paketi üzerinden betik adımının üst dizin dışına çıkması
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- Octopus
Yönetici özeti
Bu açık, dağıtım sistemini kullanan kişilerin sunucu üzerinde beklenmedik işlemler yapmasına imkân verebilir. Risk orta düzeydedir ancak yetkili kullanıcı hesaplarının kötüye kullanılması durumunda işletme açısından önemli sonuçlar doğurabilir. Etkilenen sürümlerin mümkün olan en kısa sürede güncellenmesi önerilir.
ÖzetTürkçe
Octopus Server'ın etkilenen sürümlerinde, kötü amaçlı bir NuGet paketi yükleme yetkisine sahip bir kullanıcı, dağıtım sırasında çalıştırılan bir betik adımını ana dizinin dışında yürütülecek şekilde ayarlayabilir. Zafiyet, yalnızca paket yükleme yetkisi olan kullanıcılar açısından risk oluşturur. Etkilenen sürümler arasında 2023.0.0 ile 2026.1.674 öncesi, 2026.2 ile 2026.2.973 öncesi ve 2026.3 ile 2026.3.5839 öncesi sürümler yer almaktadır.
Saldırgan ne yapabilir?
Saldırgan, sunucu üzerinde dizin sınırlarını aşarak betik çalıştırabilir; bu da sistemin bütünlüğünü etkileyebilir ve hizmetin kesintiye uğramasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
In affected versions of Octopus Server, a user with permission to upload a malicious nuget package is able to deploy a script step so the script executes outside of the parent directory.
Ne yapmalı?
- Octopus Server'ı, etkilenen sürüm aralığına göre düzeltilmiş sürüme yükseltin: 2026.1 dalında 2026.1.674, 2026.2 dalında 2026.2.973, 2026.3 dalında 2026.3.5839 veya üzeri. Üretici
- Güncellemeden önce NuGet paketi yükleme yetkilerini yalnızca güvenilir kullanıcılarla sınırlandırın ve gereksiz yetkileri kaldırın. Genel öneri
Ek önlemler
- Yeni yüklenen NuGet paketlerini ve dağıtım süreçlerindeki betik adımı değişikliklerini düzenli olarak denetleyin. Genel öneri
- Yönetici ve dağıtım hesapları için çok faktörlü kimlik doğrulama kullanın ve şüpheli oturum etkinliğini izleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Octopus Deploy Octopus Server | ≥ 2023.0.0, < 2026.1.674 | 2026.1.674 |
| ≥ 2026.1, < 2026.1.674 | 2026.1.674 | |
| ≥ 2026.2, < 2026.2.973 | 2026.2.973 | |
| ≥ 2026.3, < 2026.3.5839 | 2026.3.5839 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.