Microsoft Team Foundation Server 或 Azure DevOps 安裝缺少安全性更新。因此，它受到多個伺服器偽造弱點影響。攻擊者如成功利用此弱點，則可存取目前使用者可存取的資料。根據使用者的授權，攻擊者可收集有關 ADO 元素的詳細資料，例如 org/proj 組態、使用者、群組、團隊、專案、管線、版面或 wiki。攻擊者也可特製頁面元素以收集使用者密碼，並可操控網站的 DOM 模型新增/移除元素，而特製的指令碼可在未經使用者同意或不知情的情況下，在目前使用者的內容中對 ADO 執行動作。

請注意，所有系統都需要一個手動套用新資源群組工作的程序。Nessus 目前無法偵測工作的狀態。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

偵測

Microsoft Team Foundation Server 和 Azure DevOps Server 的安全性更新 (2023 年 6 月)

high Nessus Plugin ID 177392

版本 1.0