CVSS: 6.1EPSS: 0%CPEs: 4EXPL: 0CVE-2022-29890
https://notcve.org/view.php?id=CVE-2022-29890
In affected versions of Octopus Server the help sidebar can be customized to include a Cross-Site Scripting payload in the support link. En las versiones afectadas de Octopus Server la barra lateral de ayuda puede ser personalizada para incluir una carga útil de tipo Cross-Site Scripting en el enlace de soporte • https://advisories.octopus.com/post/2022/sa2022-07 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.3EPSS: 0%CPEs: 4EXPL: 0CVE-2022-1881
https://notcve.org/view.php?id=CVE-2022-1881
In affected versions of Octopus Server an Insecure Direct Object Reference vulnerability exists where it is possible for a user to download Project Exports from a Project they do not have permissions to access. This vulnerability only impacts projects within the same Space. En las versiones afectadas de Octopus Server se presenta una vulnerabilidad de Referencia Directa de Objetos Insegura donde es posible que un usuario descargue Exportaciones de Proyectos desde un Proyecto al que no presenta permisos para acceder. Esta vulnerabilidad sólo afecta a proyectos dentro del mismo espacio • https://advisories.octopus.com/post/2022/sa2022-06 • CWE-639: Authorization Bypass Through User-Controlled Key •
CVSS: 7.5EPSS: 0%CPEs: 2EXPL: 0CVE-2022-1670
https://notcve.org/view.php?id=CVE-2022-1670
When generating a user invitation code in Octopus Server, the validity of this code can be set for a specific number of users. It was possible to bypass this restriction of validity to create extra user accounts above the initial number of invited users. Cuando es generado un código de invitación de usuario en Octopus Server, la comprobación de este código puede establecerse para un número específico de usuarios. Era posible omitir esta restricción de comprobación para crear cuentas de usuario adicionales por encima del número inicial de usuarios invitados • https://advisories.octopus.com/post/2022/sa2022-04 •
CVSS: 4.3EPSS: 0%CPEs: 2EXPL: 0CVE-2022-1502
https://notcve.org/view.php?id=CVE-2022-1502
Permissions were not properly verified in the API on projects using version control in Git. This allowed projects to be modified by users with only ProjectView permissions. Los permisos no eran verificados apropiadamente en la API en los proyectos que usaban el control de versiones en Git. Esto permitía que los proyectos fuesen modificados por usuarios con permisos únicamente de ProjectView • https://advisories.octopus.com/post/2022/sa2022-03 •
CVSS: 6.1EPSS: 0%CPEs: 4EXPL: 0CVE-2022-23184
https://notcve.org/view.php?id=CVE-2022-23184
In affected Octopus Server versions when the server HTTP and HTTPS bindings are configured to localhost, Octopus Server will allow open redirects. En las versiones de Octopus Server afectadas, cuando los enlaces HTTP y HTTPS del servidor están configurados en localhost, Octopus Server permitirá las redirecciones abiertas • https://advisories.octopus.com/post/2022/sa2022-02 • CWE-601: URL Redirection to Untrusted Site ('Open Redirect') •