CVE-2022-39207 in Onedev
Tóm tắt
Bởi VulDB • 18/06/2026
OneDev là một máy chủ Git mã nguồn mở, tự lưu trữ, tích hợp CI/CD và Kanban. Trong quá trình xây dựng (build) CI/CD, có thể lưu trữ các tệp kết quả xây dựng (build artifacts) để truy xuất sau này. Các tệp này có thể được truy cập thông qua giao diện người dùng web (web UI) của OneDev sau khi quá trình xây dựng thành công. Các tệp kết quả này được máy chủ web phục vụ trong cùng ngữ cảnh với giao diện người dùng mà không có bất kỳ hạn chế nào khác. Điều này dẫn đến lỗi Cross-Site Scripting (XSS) khi người dùng tạo một kết quả xây dựng chứa mã HTML. Khi truy cập vào kết quả xây dựng, trình duyệt sẽ hiển thị nội dung, bao gồm cả bất kỳ mã JavaScript nào mà nó chứa. Vì tất cả các cookie (ngoại trừ cookie rememberMe) không đặt cờ HttpOnly, một kẻ tấn công có thể đánh cắp phiên làm việc của nạn nhân và sử dụng nó để giả mạo danh tính nạn nhân. Để khai thác lỗ hổng này, kẻ tấn công cần có khả năng sửa đổi nội dung của các kết quả xây dựng, điều này thường có nghĩa là họ cần có khả năng sửa đổi thông số xây dựng (build spec) của một dự án. Việc khai thác yêu cầu nạn nhân phải nhấp vào liên kết của kẻ tấn công. Lỗ hổng này có thể được sử dụng để nâng cao đặc quyền bằng cách nhắm mục tiêu vào các quản trị viên của một phiên bản OneDev. Trong trường hợp xấu nhất, điều này có thể dẫn đến việc thực thi mã tùy ý trên máy chủ, vì các quản trị viên có thể tạo các Bộ thực thi Shell máy chủ (Server Shell Executors) và sử dụng chúng để chạy bất kỳ lệnh nào trên máy chủ. Lỗ hổng này đã được vá trong phiên bản 7.3.0. Người dùng được khuyến nghị nâng cấp. Không có các giải pháp tạm thời nào được biết đến cho vấn đề này.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.