CVE-2020-28002

SonarQube versão 8.4.2.36762

A vulnerabilidade permite que um invasor externo contorne a autenticação através do SonarScanner definindo um valor vazio para a opção -D sonar.login, o que força a autenticação anônima. Isso possibilita a criação e a sobrescrita de projetos públicos e privados por meio do endpoint “/api/ce/submit”.

Para a versão 8.4.2.36762 do SonarQube, considere desativar o SonarScanner ou restringir o acesso ao endpoint “/api/ce/submit” até que um patch esteja disponível. Além disso, evite usar um valor vazio para a opção -D sonar.login para impedir a autenticação anônima. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.