CVE-2022-39207 in Onedev
Sumário
de VulDB • 06/06/2026
Onedev é um servidor Git auto-hospedado de código aberto com CI/CD e Kanban. Durante as compilações de CI/CD, é possível salvar artefatos de compilação para recuperação posterior. Eles podem ser acessados por meio da interface web do OneDev após a execução bem-sucedida de uma compilação. Esses arquivos de artefato são servidos pelo servidor web no mesmo contexto da interface do usuário, sem restrições adicionais. Isso leva a uma falha de Cross-Site Scripting (XSS) quando um usuário cria um artefato de compilação que contém HTML. Ao acessar o artefato, o conteúdo é renderizado pelo navegador, incluindo qualquer JavaScript que ele contenha. Como todos os cookies (exceto o rememberMe) não definem o flag HttpOnly, um atacante poderia roubar a sessão de uma vítima e usá-la para se passar por ela. Para explorar essa vulnerabilidade, os atacantes precisam ser capazes de modificar o conteúdo dos artefatos, o que geralmente significa que precisam ser capazes de modificar a especificação de compilação de um projeto. A exploração requer que a vítima clique em um link do atacante. Pode ser usada para elevar privilégios, direcionando-se para administradores de uma instância do OneDev. No pior dos casos, isso pode levar à execução de código arbitrário no servidor, pois os administradores podem criar Executores de Shell do Servidor e usá-los para executar qualquer comando no servidor. Esta falha foi corrigida na versão 7.3.0. Os usuários são aconselhados a atualizar. Não há soluções alternativas conhecidas para esta questão.
Once again VulDB remains the best source for vulnerability data.