PT-2026-55209 · Concourse · Concourse

Publicado 2026-07-01 · Atualizado 2026-07-07 · CVE-2026-49826

Positive Technologies (AI Summary) · Pt

CVSS v4.0

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Concourse versões anteriores a 8.2.3

Description Um problema de redirecionamento aberto existe no fluxo de login. Um invasor pode criar uma URL que redireciona os usuários do servidor web do Concourse para um site externo, o que poderia ser utilizado em ataques de phishing para roubar credenciais. O problema ocorre devido à forma como o pacote url do Go processa o parâmetro redirect uri no endpoint /sky/login. Especificamente, se a URL contiver caracteres que exijam escape, como barras invertidas, uma etapa de decodificação extra é executada, permitindo que um caminho como /%252Fexample.com/ seja interpretado como //example.com.

Recommendations Atualize para a versão 8.2.3.

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2026-49826

GHSA-8W27-C4VC-88Q9

GO-2026-5866

Produtos afetados

Concourse

Referências · 6

• https://github.com/concourse/concourse/security/advisories/GHSA-8w27-c4vc-88q9 · Nota
• https://github.com/concourse/concourse/releases/tag/v8.2.3 · Nota
• https://github.com/concourse/concourse · Nota
• https://github.com/concourse/concourse/commit/ac60be5f0435b6592f5a4fcc089050d72ad2452c · Nota
• https://osv.dev/vulnerability/GO-2026-5866 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-8w27-c4vc-88q9 · Aviso do Fabricante