CVE-2026-30920

Nome do Software Vulnerável e Versões Afetadas Versões do OneUptime anteriores à 10.0.19

Descrição O callback do GitHub App do OneUptime não valida adequadamente os valores state e installation id recebidos de um usuário, permitindo que um atacante sobrescreva a vinculação da instalação do GitHub App de outro projeto. O callback decodifica o JSON codificado em base64 do parâmetro state e usa diretamente o projectId embutido. Em seguida, atualiza o Project.gitHubAppInstallationId com isRoot: true sem verificar a autorização do chamador para o projeto de destino. Os endpoints do GitHub relacionados também não possuem autorização eficaz, permitindo que um ID de instalação válido seja usado para enumerar repositórios e criar registros CodeRepository em um projeto arbitrário. Os endpoints da API vulneráveis incluem: /api/github/auth/callback, /api/github/repositories e /api/github/connect. Os parâmetros state e installation id são vulneráveis.

Recomendações As versões anteriores à 10.0.19 devem ser atualizadas para a versão 10.0.19 ou posterior.