Aeonframework

توجد مشكلة حيث يقوم endpoint "/api/external-link/task/:taskId" بإرجاع `integration.config` لأي عضو في مساحة العمل، بما في ذلك أولئك الذين لديهم دور المشاهد، عندما تكون المهمة مرتبطة بقضية Gitea أو طلب سحب. يتم إرجاع `integration.config` بنص واضح ويحتوي على `accessToken` و `webhookSecret` الخاص بـ Gitea. يسمح هذا للمستخدمين غير المصرح لهم بتنفيذ إجراءات Gitea الممنوحة للرمز وإنشاء عمليات تسليم webhook مزورة تجتاز التحقق من HMAC (رمز مصادقة الرسائل القائم على التجزئة)، وهو آلية تستخدم للتحقق من سلامة وأصالة الرسالة.

في عمليات النشر متعددة المؤسسات، تقوم لوحة التحكم التي لا تعمل في وضع الاستضافة الذاتية بإرفاق المفتاح الداخلي للخادم بالطلبات التي تحمل ترويسة تفويض (Authorization header) قبل التحقق من حامل المفتاح (bearer). وتثق بعض المسارات المخصصة للخدمة فقط بهذا المفتاح وتأخذ معرف المؤسسة من عنوان URL. يتيح ذلك لمتصل عن بُعد غير مصرح له استخدام حامل مفتاح وهمي لإعادة توجيه اتصال مزود مؤسسة أخرى إلى نقطة نهاية يسيطر عليها المهاجم، مما يؤدي إلى كشف المطالبات اللاحقة وتأثير الاستجابات التي يتحكم بها المهاجم على المهام. تشمل نقاط نهاية API المتأثرة 'PUT /v1/orgs/{org}/connections/{name}' و 'PUT /v1/orgs/{org}/policy/{backend}' وجميع المسارات تحت '/internal/*'.