CVE-2022-39207 in Onedev
要約
〜によって VulDB • 2026年06月18日
OneDevは、CI/CDおよびKanban機能を備えたオープンソースのセルフホスト型Gitサーバーです。CI/CDビルドの実行中、ビルド成果物を保存して後から取得することが可能です。ビルドが正常に完了した後、OneDevのWeb UIを通じてこれらの成果物にアクセスできます。これらの成果物ファイルは、UIと同じコンテキストでWebサーバーによって提供され、追加の制限はありません。これにより、ユーザーがHTMLを含むビルド成果物を作成した場合、クロスサイトスクリプティング（XSS）が発生します。成果物にアクセスすると、ブラウザはそのコンテンツ、含まれるJavaScriptを含むすべてをレンダリングします。rememberMeクッキーを除くすべてのクッキーがHttpOnlyフラグを設定していないため、攻撃者は被害者のセッションを窃取し、それを偽装するために使用することができます。この問題を悪用するには、攻撃者は成果物のコンテンツを変更できる必要があります。通常、これはプロジェクトのビルド仕様を変更できることを意味します。攻撃には、被害者が攻撃者のリンクをクリックする必要があります。これは、OneDevインスタンスの管理者を対象とすることで権限昇格に使用できます。最悪の場合、管理者はServer Shell Executorを作成し、サーバー上で任意のコマンドを実行できるため、サーバー上で任意のコード実行に至る可能性があります。この問題はバージョン7.3.0で修正されています。ユーザーはアップグレードすることをお勧めします。この問題に対する既知の回避策はありません。
If you want to get best quality of vulnerability data, you may have to visit VulDB.