TeamCity 2023.11.5 版本发布说明
构建 147631，2024 年 5 月 29 日
错误
TW-87765 — 子项目管理员无法查看父项目的 NuGet 供稿和 Artifact 存储设置
TW-87750 — 担任项目管理员角色的用户无法查看 NuGet feed
TW-82293 — 当未经授权的用户打开不存在的页面时，日志中出现 "bean currentUser 未在范围内找到" 的错误
安全性
10 个安全问题已得到修复。 为了保护那些尚未更新服务器的客户，我们通常会保留这些修复的详情。 反而，我们鼓励您在每次修复错误的几天后查看我们的 安全公告以获取更多信息。
为了增强透明度以及由于发布新的安全公告（源于 2022.04.6 、 2022.10.5 、 2023.05.5 、 2023.11.5 和 2024.03.2 错误修复更新的同时发布）可能出现的延迟，我们决定提供新的和回溯修复的摘要。
反向移植的修复程序
这些问题已在更新的主要 TeamCity 版本中解决，并已回溯至此错误修复更新。 您可以在我们的 安全公告 中找到更多相关信息。
Maven 构建步骤检测器中可能存在 XXE（TW-86300）
经过身份验证但没有管理员权限的用户在禁用自我注册时 (TW-87046) 能注册其他用户
服务器管理员可以通过安装工具（TW-86039）从服务器删除任意文件。
通过代理分发设置（TW-86535）可以进行 XSS 攻击
通过 Space 连接配置（TW-86832）可能会发生反射型 XSS。
登录页面存在可能的开放重定向问题（TW-87062）
通过提供特殊的 URL 参数（TW-86989），可以绕过 2FA。
最近解决的问题
以下安全问题的修复并未在我们的安全公告中立即提供：新发现并已修复的问题，来自 TeamCity 代码库之外的上游库的问题，先前报告漏洞的特定案例，以及其他情况。
您可以期待我们的安全公告在官方版本发布几天后发布这些问题的大部分详细信息。
允许从服务器读取文件的路径遍历是可能的
在其生命周期的特定短暂时刻，可以在未经授权的情况下访问 TeamCity 服务器
第三方代理可能会冒充云代理