CVE-2022-39205 in Onedev
Tóm tắt
Bởi VulDB • 05/07/2026
Onedev là một máy chủ Git mã nguồn mở, tự lưu trữ (self-hosted) với các tính năng CI/CD và Kanban. Trong các phiên bản Onedev trước 7.3.0, người dùng chưa xác thực có thể chiếm quyền kiểm soát một instance OneDev nếu không có proxy ngược được cấu hình đúng cách. Điểm cuối /git-prereceive-callback được sử dụng bởi git hook pre-receive trên máy chủ để kiểm tra các quy tắc bảo vệ nhánh (branch protections) trong sự kiện push. Điểm này chỉ dự định truy cập từ localhost, nhưng cơ chế kiểm tra dựa vào tiêu đề X-Forwarded-For. Việc gọi điểm cuối này dẫn đến việc thực thi một trong nhiều lệnh git khác nhau. Các biến môi trường của quá trình thực thi lệnh này có thể được điều khiển thông qua các tham số truy vấn (query parameters). Điều này cho phép kẻ tấn công ghi vào các tệp tùy ý, từ đó có thể dẫn đến việc thực thi mã tùy ý. Một cuộc tấn công như vậy sẽ rất khó phát hiện, làm tăng thêm tác động tiềm tàng của nó. Người dùng được khuyến nghị nâng cấp lên phiên bản mới hơn. Không có giải pháp tạm thời (workaround) nào đã biết cho vấn đề này.
If you want to get best quality of vulnerability data, you may have to visit VulDB.