CVE-2022-39207 in Onedev
Сводка
по VulDB • 16.05.2026
OneDev — это сервер Git с открытым исходным кодом, развертываемый на собственных серверах, поддерживающий CI/CD и Kanban. Во время сборки в рамках CI/CD возможно сохранение артефактов сборки для последующего извлечения. К ним можно получить доступ через веб-интерфейс OneDev после успешного завершения сборки. Эти файлы артефактов обслуживаются веб-сервером в том же контексте, что и веб-интерфейс, без каких-либо дополнительных ограничений. Это приводит к межсайтовому скриптингу (XSS), если пользователь создает артефакт сборки, содержащий HTML-код. При доступе к артефакту браузер отображает его содержимое, включая любой содержащийся в нем JavaScript. Поскольку все файлы cookie (за исключением rememberMe) не устанавливают флаг HttpOnly, злоумышленник может украсть сессию жертвы и использовать ее для маскировки под нее. Для эксплуатации этой уязвимости злоумышленники должны иметь возможность изменять содержимое артефактов, что обычно означает необходимость изменения спецификации сборки проекта. Для эксплуатации требуется, чтобы жертва перешла по ссылке злоумышленника. Уязвимость может быть использована для повышения привилегий путем нацеливания на администраторов экземпляра OneDev. В худшем случае это может привести к произвольному выполнению кода на сервере, поскольку администраторы могут создавать исполнители командной оболочки сервера (Server Shell Executors) и использовать их для выполнения любой команды на сервере. Эта проблема была исправлена в версии 7.3.0. Пользователям рекомендуется выполнить обновление. Известных обходных путей для этой проблемы нет.
If you want to get best quality of vulnerability data, you may have to visit VulDB.