CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2017-15611
https://notcve.org/view.php?id=CVE-2017-15611
In Octopus before 3.17.7, an authenticated user who was explicitly granted the permission to invite new users (aka UserInvite) can invite users to teams with escalated privileges. En versiones anteriores a la 3.17.7 de Octopus, un usuario autenticado al que se le ha otorgado explícitamente el permiso para invitar a nuevos usuarios (también conocido como UserInvite) puede invitar usuarios a equipos con privilegios escalados. • https://github.com/OctopusDeploy/Issues/issues/3864 • CWE-732: Incorrect Permission Assignment for Critical Resource •
CVSS: 6.3EPSS: 0%CPEs: 192EXPL: 0CVE-2017-11348
https://notcve.org/view.php?id=CVE-2017-11348
In Octopus Deploy 3.x before 3.15.4, an authenticated user with PackagePush permission to upload packages could upload a maliciously crafted NuGet package, potentially overwriting other packages or modifying system files. This is a directory traversal in the PackageId value. En Octopus Deploy versión 3.x anterior a 3.15.4, un usuario autenticado con permiso PackagePush para cargar paquetes podría cargar un paquete NuGet creado con fines maliciosos, sobrescribiendo potencialmente otros paquetes o modificando archivos del sistema. Esto es un salto de directorio en el valor PackageId. • https://github.com/OctopusDeploy/Issues/issues/3654 • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') •