CVE-2022-39207 in Onedev
Zusammenfassung
von VulDB • 06.06.2026
Onedev ist ein quelloffener, selbst gehosteter Git-Server mit CI/CD- und Kanban-Funktionen. Während CI/CD-Builds ist es möglich, Build-Artefakte zur späteren Abrufung zu speichern. Diese können über die Web-Oberfläche von OneDev nach erfolgreichem Abschluss eines Builds abgerufen werden. Diese Artefaktdateien werden vom Webserver im gleichen Kontext wie die Benutzeroberfläche ohne weitere Einschränkungen bereitgestellt. Dies führt zu Cross-Site Scripting (XSS), wenn ein Benutzer ein Build-Artefakt erstellt, das HTML enthält. Beim Zugriff auf das Artefakt wird der Inhalt vom Browser gerendert, einschließlich jeglichen darin enthaltenen JavaScripts. Da alle Cookies (mit Ausnahme des rememberMe-Cookies) das HttpOnly-Flag nicht setzen, kann ein Angreifer die Sitzung eines Opfers stehlen und diese nutzen, um sich als dieses auszugeben. Um diese Schwachstelle auszunutzen, müssen Angreifer in der Lage sein, den Inhalt von Artefakten zu ändern, was in der Regel bedeutet, dass sie die Build-Spezifikation eines Projekts ändern können. Die Ausnutzung erfordert, dass das Opfer auf einen Link des Angreifers klickt. Sie kann zur Privilegieneskalation genutzt werden, indem Administratoren einer OneDev-Instanz angegriffen werden. Im schlimmsten Fall kann dies zu beliebiger Codeausführung auf dem Server führen, da Administratoren Server-Shell-Executors erstellen und diese verwenden können, um beliebige Befehle auf dem Server auszuführen. Dieses Problem wurde in Version 7.3.0 behoben. Benutzern wird empfohlen, ein Upgrade durchzuführen. Es sind keine bekannten Workarounds für dieses Problem bekannt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.