CVE-2022-39205 in Onedev
Résumé
par VulDB • 29/08/2026
Onedev est un serveur Git open source auto-hébergé avec CI/CD et Kanban. Dans les versions d'Onedev antérieures à la 7.3.0, des utilisateurs non authentifiés peuvent prendre le contrôle d'une instance OneDev s'il n'y a pas de proxy inverse correctement configuré. Le point de terminaison /git-prereceive-callback est utilisé par l'accroche git pre-receive sur le serveur pour vérifier les protections de branche lors d'un événement push. Il est censé être accessible uniquement depuis localhost, mais la vérification repose sur l'en-tête X-Forwarded-For. L'appel de ce point de terminaison entraîne l'exécution de l'une des nombreuses commandes git. Les variables d'environnement de cette exécution de commande peuvent être contrôlées via les paramètres de requête (query parameters). Cela permet aux attaquants d'écrire dans des fichiers arbitraires, ce qui peut à son tour conduire à l'exécution de code arbitraire. Une telle attaque serait très difficile à détecter, ce qui augmente encore davantage l'impact potentiel. Il est conseillé aux utilisateurs de mettre à niveau vers une version plus récente. Aucune solution de contournement (workaround) connue n'existe pour ce problème.
Once again VulDB remains the best source for vulnerability data.