Cervantes v1.4.0-beta แก้ 4 CVE กระทบสิทธิ์ข้ามโครงการและ checklist

Cervantes ซึ่งเป็นแพลตฟอร์มโอเพนซอร์สสำหรับจัดการงานทดสอบความปลอดภัยและข้อมูลโครงการ ออกรุ่น v1.4.0-beta พร้อมปรับการตรวจสิทธิ์ฝั่งเซิร์ฟเวอร์และป้องกันการนำข้อมูลจากโครงการหนึ่งไปกระทบอีกโครงการหนึ่ง ต่อมา Grayback เผยแพร่ระเบียน CVE สี่รายการที่ชี้ปัญหาใน v1.3-beta ได้แก่ CVE-2026-115998, CVE-2026-115994, CVE-2026-115993 และ CVE-2026-115975 ข้อมูลที่เก็บใน Cervantes อาจประกอบด้วยรายละเอียดช่องโหว่ หลักฐานทดสอบ เป้าหมาย และข้อมูลลูกค้า การแยกสิทธิ์ตามโครงการจึงเป็นขอบเขตสำคัญ ไม่ใช่เพียงการจัดหน้า UI ให้ดูเป็นระเบียบ

บันทึกรุ่น v1.4.0-beta เผยแพร่วันที่ 23 ตุลาคม 2026 เวลา 16:38 UTC และอธิบายการเสริม authorization, การจำกัดการแก้ไขรายการตามสมาชิกโครงการ และการห้ามย้ายรายการข้ามโครงการ หน้า advisory ของ Grayback ระบุวันที่เปิดเผยทั้งสี่รายการเป็น 24 ตุลาคม 2026 ระเบียน CVE เผยแพร่วันที่ 24 ตุลาคมเช่นกัน: CVE-2026-115975 เวลา 07:39 UTC, CVE-2026-115993 เวลา 08:32 UTC, CVE-2026-115994 เวลา 09:04 UTC และ CVE-2026-115998 เวลา 09:28 UTC วันที่เหล่านี้แยกวันออกแพตช์จากวันเผยแพร่รายละเอียดช่องโหว่

สี่ช่องโหว่ต่างกันอย่างไร

CVE-2026-115998 — อ่านหรือแก้ finding ข้ามโครงการ ระเบียนระบุว่าเมื่อมีบัญชีในระบบ ผู้โจมตีอาจเข้าถึง finding ของโครงการที่ตนไม่ได้เป็นสมาชิก ข้อมูลที่เสี่ยงรวมถึงรายละเอียดหลักฐานการทดสอบ ข้อมูลรับรอง และข้อมูลลูกค้า นอกจากนี้ยังอาจเปลี่ยนสถานะ finding หรือย้าย finding ไปยังโครงการของตนได้ ผลกระทบจึงครอบคลุมทั้งความลับและความถูกต้องของข้อมูล ไม่ควรเข้าใจว่าเป็นช่องโหว่ที่ใครก็ตามบนอินเทอร์เน็ตใช้ได้โดยไม่มีบัญชี

CVE-2026-115994 — แก้ไขหรือลบเป้าหมายของโครงการอื่น เป็นปัญหา broken object level authorization (BOLA) ในการจัดการ target ระเบียนระบุว่าผู้โจมตีอาจเปลี่ยนหรือลบ target ของโครงการที่ไม่เกี่ยวข้องได้ ในงาน pentest รายการ target กำหนดขอบเขตการทดสอบ การแก้ไขผิดโครงการจึงอาจทำให้รายงาน ผลการทดสอบ และการตัดสินใจภายหลังคลาดเคลื่อน แม้ไม่ใช่การยึดเซิร์ฟเวอร์โดยตรง

CVE-2026-115993 — stored XSS ในช่อง Notes ของ checklist ข้อความที่บันทึกใน Notes อาจถูกแสดงแก่ผู้ใช้อีกคนในบริบทที่รันสคริปต์ได้ ความเสี่ยงอยู่ที่เบราว์เซอร์ของผู้เปิดรายการและสิทธิ์ของบัญชีนั้น ไม่ใช่หลักฐานว่าผู้โจมตีรันคำสั่งบนเซิร์ฟเวอร์ได้โดยตรง บันทึกรุ่นใหม่ระบุว่ามีการ sanitize HTML ที่ผู้ใช้ส่งเข้ามาและบังคับใช้ Content Security Policy ซึ่งเป็นการป้องกันหลายชั้น แต่ผู้ดูแลยังควรตรวจข้อมูลเก่าที่เคยบันทึกไว้ด้วย

CVE-2026-115975 — ควบคุมตั๋ว Jira ข้ามโครงการ ระเบียนระบุว่าการตรวจสิทธิ์ใน JiraController ไม่ครบ ทำให้ผู้โจมตีอาจสร้าง แก้ไข หรือลบ Jira ticket ที่ผูกกับช่องโหว่ของโครงการอื่นได้ ประเด็นนี้มีความสำคัญกับการติดตามงานแก้ไข เพราะตั๋วที่เปลี่ยนโดยผู้ไม่มีสิทธิ์อาจทำให้ทีมเข้าใจผิดว่าปัญหาได้รับการจัดการแล้วหรือสูญเสียหลักฐานการประสานงาน ผลกระทบจริงขึ้นอยู่กับการใช้งานส่วน Jira ของแต่ละระบบ

ใครควรตรวจและอัปเดตอย่างไร

ระเบียนทั้งสี่รายการระบุ v1.3-beta เป็นรุ่นที่ได้รับผลกระทบ และระบุ v1.4.0-beta เป็นรุ่นที่ไม่รับผลกระทบตามข้อมูลของผู้ประสานงาน CVE หากระบบของคุณยังใช้ v1.3-beta ให้ตรวจเวอร์ชันที่รันจริง รวมถึง image หรือ deployment artifact ที่ถูก pin ไว้ การเห็น tag ใหม่บน GitHub ไม่ได้หมายความว่า instance ที่ให้บริการถูกอัปเดตแล้ว โครงการนี้เก็บข้อมูลลูกค้าและผลทดสอบที่อ่อนไหว จึงควรสำรองฐานข้อมูลและไฟล์แนบก่อนอัปเกรด แล้วอ่าน breaking changes ใน release note โดยเฉพาะ API response, สิทธิ์ และพฤติกรรมการจัดการ session

หลังอัปเดตให้ทดลองด้วยบัญชีอย่างน้อยสองบทบาทจากสองโครงการ: อ่าน finding ที่ควรอ่านได้, พยายามเปิด finding ของอีกโครงการ, แก้ไข target ที่ตนเป็นเจ้าของ และยืนยันว่าการแก้ไข target ข้ามโครงการถูกปฏิเสธ ทดสอบ checklist Notes และการเชื่อม Jira ตามการใช้งานจริงด้วย การตรวจจากหน้าจอเพียงอย่างเดียวไม่พอ เพราะข้อผิดพลาดเหล่านี้เกี่ยวข้องกับการอนุญาตที่ฝั่งเซิร์ฟเวอร์และเส้นทาง API

หากสงสัยว่ามีการเข้าถึงข้ามโครงการแล้ว ให้ตรวจ audit log, ประวัติการแก้ไข finding, การย้าย target, รายการ Jira ticket และสิทธิ์สมาชิกโครงการย้อนหลัง แยกผลที่พิสูจน์ได้จากสิ่งที่เป็นเพียงความเป็นไปได้ และแจ้งเจ้าของข้อมูลตามขั้นตอนขององค์กร ขณะรออัปเดตให้จำกัดผู้ใช้ที่ไม่จำเป็นและการเข้าถึงระบบจากภายนอก แต่การจำกัดสิทธิ์แบบนี้ไม่แทนการแก้ปัญหาที่โค้ด

บันทึกรุ่น v1.4.0-beta ครอบคลุมการปรับความปลอดภัยอีกหลายส่วน นอกเหนือจากสี่ CVE นี้ บทความนี้จึงโฟกัสเฉพาะสิ่งที่ระเบียนระบุได้ชัด: การอ่านและแก้ finding ข้ามโครงการ, target ข้ามโครงการ, stored XSS ใน checklist และสิทธิ์ของ JiraController ผู้ดูแลควรใช้ release note ประกอบการทดสอบระบบของตน ไม่สมมติว่าทุก deployment เปิดใช้ทุกฟีเจอร์เหมือนกัน

แหล่งข้อมูลต้นทาง: Grayback advisories, Cervantes v1.4.0-beta release notes, CVE-2026-115998, CVE-2026-115994, CVE-2026-115993, CVE-2026-115975