CVE-2026-0704: Octopus Deploy Server: travessia de diretório em endpoint de API
A CVE-2026-0704 afeta o Octopus Deploy Server e permite remover arquivos ou conteúdos de arquivos no host por meio de um endpoint de API sem validação adequada. A NVD atribui pontuação CVSS 9.1 (crítica), enquanto o CNA atribui 5.9. Não há exploração confirmada nas fontes consultadas, e o registro não informa versões corrigidas.
Visão geral
A CVE-2026-0704 é uma fragilidade de travessia de diretório (CWE-22) no Octopus Deploy Server. Segundo o registro, um endpoint de API não validava um campo, permitindo remover arquivos ou conteúdos de arquivos no host. O registro indica que isso poderia permitir formas de contornar fluxos de trabalho esperados. A única referência do fabricante no registro é o aviso Octopus SA2026-01.
Impacto
- Confidencialidade: o vetor da NVD indica impacto nulo nesse aspecto.
- Integridade e disponibilidade: o vetor da NVD indica impacto alto em ambos.
- Diferença de pontuação: a pontuação 5.9 do CNA usa um esquema CVSS diferente da pontuação 9.1 da NVD. Essa diferença é uma inferência e deve ser verificada no aviso.
Produtos e versões afetadas
- Octopus Octopus Server: de 2023.1.4189 até antes de 2025.3.14715.
- Octopus Deploy Octopus Server: de 2023.0.0 até antes de 2025.3.14715, e de 2025.4.0 até antes de 2025.4.10359.
O registro não informa versões corrigidas. Os limites superiores acima são onde as faixas listadas terminam. Se correspondem a versões corrigidas deve ser confirmado no aviso do fabricante.
Status de exploração
O registro indica que esta CVE não está listada no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. A EPSS informa probabilidade de 0.00378 e percentil de 0.30568. Os dados SSVC indicam exploração como none e automatizável como no.
Correção e mitigação
- Consulte o aviso do fabricante e confirme a versão corrigida para o seu ramo de release.
- Atualize para uma versão fora das faixas afetadas listadas assim que for possível.
- Até a correção, restrinja o acesso à API do Octopus Server a redes e contas confiáveis, aplicando o princípio do menor privilégio.
- Mantenha backups atualizados da configuração do servidor e confirme que podem ser restaurados.
Orientações de detecção
- Revise os logs de acesso da API em busca de requisições a endpoints inesperados ou atividade incomum relacionada a arquivos no servidor.
- Monitore a integridade dos arquivos do servidor e dos diretórios de configuração.
- Gere alertas para exclusões ou alterações inesperadas de arquivos no host.
Limitações das informações disponíveis
O registro não identifica o endpoint afetado, não lista versões corrigidas e não descreve pré-requisitos para exploração. As pontuações CVSS diferem entre a NVD e o CNA. Os detalhes se limitam à descrição e ao link do aviso do fabricante.
Perguntas frequentes
Esta falha permite remover arquivos?
O registro indica que um endpoint de API não validava um campo e permitia remover arquivos ou conteúdos de arquivos no host. Trate como risco à integridade de arquivos e consulte o aviso do fabricante.
Esta CVE está sendo explorada na prática?
O registro não a lista no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Os dados EPSS e SSVC indicam baixa probabilidade de exploração, mas isso não é garantia.
Quais versões devo verificar?
Verifique as faixas de 2023.1.4189 até antes de 2025.3.14715, de 2023.0.0 até antes de 2025.3.14715 e de 2025.4.0 até antes de 2025.4.10359. O registro não informa versões corrigidas, então confirme a correção com o fabricante.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.