CVE-2026-73840 in OpenChoreo
요약
\~에 의해 VulDB • 2026. 08. 14.
OpenChoreo는 Kubernetes를 위한 완전한 오픈소스 개발자 플랫폼입니다. 버전 1.0.3, 1.1.3 및 1.2.0-rc.2 이전에서는 internal/openchoreo-api/api/handlers/webhook_handler.go의 POST /api/v1alpha1/autobuild 엔드포인트가 호출자가 제어할 수 있는 X-Event-Key에서 웹훅 공급자를 선택하고, X-Hub-Signature 또는 구성된 bitbucket-secret에 HMAC-SHA256 없이 Bitbucket 요청을 허용했으며, 저장소 URL 및 브랜치로 일치하는 구성 요소에 대해 인증되지 않은 빌드 트리거를 허용했습니다. 여기에는 공격자가 제공한 커밋 SHA를 사용한 크로스 공급자 트리거도 포함됩니다. 이 문제는 버전 1.0.3, 1.1.3 및 1.2.0-rc.2에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.