CVE-2022-39208

Versões do Onedev anteriores à 7.3.0

O Onedev é um servidor Git de código aberto e auto-hospedado com CI/CD e Kanban. Todos os arquivos no diretório /opt/onedev/sites/ estão expostos e podem ser lidos por usuários não autenticados. Esse diretório contém todos os projetos, incluindo seus repositórios Git básicos e artefatos de compilação. Essa vulnerabilidade pode ser explorada por invasores não autenticados para vazar todos os arquivos de qualquer projeto. Como os IDs dos projetos são incrementais, um invasor poderia percorrê-los e vazar todos os dados dos projetos.

Para versões anteriores à 7.3.0, atualize para a versão 7.3.0 para resolver o problema. Como solução temporária, considere restringir o acesso ao diretório /opt/onedev/sites/ até que a atualização seja aplicada.