PT-2026-71923
CVE-2026-73840
·
تاريخ النشر
2026-08-13
·
تاريخ التحديث
2026-09-21
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenChoreo الأقدم من 1.0.3
إصدارات OpenChoreo الأقدم من 1.1.3
إصدارات OpenChoreo الأقدم من 1.2.0-rc.2
الوصف
تسمح نقطة النهاية ’POST /api/v1alpha1/autobuild‘ الموجودة في ’internal/openchoreo-api/api/handlers/webhook handler.go‘ بتشغيل عمليات البناء دون مصادقة للمكونات التي تتطابق مع عنوان URL للمستودع والفرع. تحدث هذه المشكلة لأن النظام يختار مزود webhook استنادًا إلى
X-Event-Key الذي يتحكم فيه المتصل، ويقبل طلبات Bitbucket دون وجود bitbucket-secret مُهيأ أو توقيع HMAC-SHA256 صالح في X-Hub-Signature. وهذا يتيح تشغيل المشغلات عبر مزودي الخدمة باستخدام قيم SHA للالتزامات (commit) التي يزودها المهاجم.التوصيات
التحديث إلى الإصدار 1.0.3.
التحديث إلى الإصدار 1.1.3.
التحديث إلى الإصدار 1.2.0-rc.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾