Page 3 of 22 results (0.003 seconds)

CVSS: 5.5EPSS: 0%CPEs: 1EXPL: 1

In Octopus Deploy 3.4.x before 2018.4.7, an authenticated user is able to view/update/save variable values within the Tenant Variables area for Environments that do not exist within their associated Team scoping. This occurs in situations where this authenticated user also belongs to multiple teams, where one of the Teams has the VariableEdit permission or VariableView permissions for the Environment. En Octopus Deploy en versiones 3.4.x anteriores al 2018.4.7, un usuario autenticado puede visualizar, actualizar o guardar los valores de las variables en el área Tenant Variables para entornos que no existen en sus áreas de equipo asociadas. Esto ocurren en situaciones en donde este usuario autenticado también pertenece a varios equipos, donde uno de los equipos tiene un permiso VariableEdit o VariableView para el entorno. • https://github.com/OctopusDeploy/Issues/issues/4474 • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •

CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0

In Octopus Deploy before 2018.4.7, target and tenant tag variable scopes were not checked against the list of tenants the user has access to. En Octopus Deploy en versiones anteriores a la 2018.4.7, los ámbitos de variables de etiqueta target y tenant no se compararon con la lista de tenants a los que el usuario tiene acceso. • https://github.com/OctopusDeploy/Issues/issues/4454 • CWE-269: Improper Privilege Management •

CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 1

In Octopus Deploy 2.0 and later before 2018.3.7, an authenticated user, with variable edit permissions, can scope some variables to targets greater than their permissions should allow. In other words, they can see machines beyond their team's scoped environments. En Octopus Deploy 2.0 y posteriores, anteriores a 2018.3.7, un usuario autenticado con permisos de edición de variables puede averiguar algunas variables para límites mayores que aquellos para los que debería tener permisos. En otras palabras, los usuarios pueden visualizar máquinas más a allá de los entornos dentro de los límites del equipo. • https://github.com/OctopusDeploy/Issues/issues/4407 https://octopus.com/downloads/compare?from=2018.3.6&to=2018.3.7 • CWE-862: Missing Authorization •

CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0

An issue was discovered in Octopus Deploy before 4.1.9. Any user with user editing permissions can modify teams to give themselves Administer System permissions even if they didn't have them, as demonstrated by use of the RoleEdit or TeamEdit permission. Se ha descubierto un problema en versiones anteriores a la 4.1.9 de Octopus Deploy. Cualquier usuario con permisos de edición puede modificar equipos para otorgarse a sí mismos derechos de Administer System, incluso aunque no los tengan, tal y como lo demuestra el uso de los permisos RoleEdit o TeamEdit. • https://github.com/OctopusDeploy/Issues/issues/4167 • CWE-269: Improper Privilege Management •

CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0

In Octopus Deploy versions 3.2.11 - 4.1.5 (fixed in 4.1.6), an authenticated user with ProcessEdit permission could reference an Azure account in such a way as to bypass the scoping restrictions, resulting in a potential escalation of privileges. En Octopus Deploy desde la versión 3.2.11 hasta la 4.1.5 (solucionado en la versión 4.1.6), un usuario autenticado con permiso ProcessEdit podría hacer referencia a una cuenta de Azure de tal manera que se puedan omitir las restricciones de alcance, resultando en un posible escalado de privilegios. • https://github.com/OctopusDeploy/Issues/issues/4134 • CWE-269: Improper Privilege Management •