CVE-2026-73840 in OpenChoreo
Zusammenfassung
von VulDB • 14.08.2026
OpenChoreo ist eine vollständige Open-Source-Entwicklerplattform für Kubernetes. Vor den Versionen 1.0.3, 1.1.3 und 1.2.0-rc.2 wählte der Endpunkt POST /api/v1alpha1/autobuild in internal/openchoreo-api/api/handlers/webhook_handler.go einen Webhook-Anbieter basierend auf dem anrufergesteuerten Header X-Event-Key aus, akzeptierte Bitbucket-Anfragen ohne HMAC-SHA256 in X-Hub-Signature oder einem konfigurierten bitbucket-secret und ermöglichte nicht authentifizierte Build-Auslöser für Komponenten, die durch Repository-URL und Branch übereinstimmten, einschließlich anbieterübergreifender Auslöser unter Verwendung von vom Angreifer bereitgestellten Commit-SHAs. Dieses Problem wurde in den Versionen 1.0.3, 1.1.3 und 1.2.0-rc.2 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.