CVE-2021-21246

**Nome do software vulnerável e versões afetadas:

Versões do OneDev anteriores à 4.0.3

Descrição:

O OneDev é uma plataforma DevOps completa. O endpoint REST UserResource realiza uma verificação de segurança para garantir que apenas administradores possam listar detalhes do usuário. No entanto, o endpoint /users/{id} carece de verificações de segurança, permitindo a recuperação de detalhes arbitrários do usuário, incluindo seus tokens de acesso. Esses tokens de acesso podem ser usados para acessar a API ou clonar código na especificação de compilação via protocolo HTTP(S), com permissões para todos os projetos acessíveis pela conta do usuário. Esse problema pode levar ao vazamento de dados confidenciais e ao vazamento do token de acesso, que pode ser usado para se passar pelo administrador ou por outros usuários.

Recomendações:

Para versões anteriores à 4.0.3, atualize para a versão 4.0.3 ou posterior, que corrige o problema removendo as informações do usuário da API RESTful.

Como solução temporária, considere restringir o acesso ao endpoint /users/{id} até que a atualização seja aplicada.

Evite usar o parâmetro id no endpoint da API afetado até que o problema seja resolvido.