Microsoft Team Foundation Server 或 Azure DevOps 安装缺少安全更新。因此，该应用程序受到多个服务器欺骗漏洞的影响。成功利用此漏洞的攻击者可以访问当前用户有权访问的数据。根据用户的授权，攻击者可以收集有关 ADO 元素的详细数据，例如 org/proj 配置、用户、群组、团队、项目、管道、board 或 wiki。攻击者还可以构建页面元素以收集用户密码，通过构建的脚本操纵网站的 DOM 模型添加/删除元素，在无需用户同意或不知情的情况下对当前用户上下文中的 ADO 执行操作。

请注意，所有系统都需要手动操作来应用新的资源群组任务。Nessus 目前无法检测任务状态。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Microsoft Team Foundation Server 和 Azure DevOps Server 的安全更新（2023 年 6 月）

high Nessus 插件 ID 177392

版本 1.2