CVE-2026-73840

Nome do Software Vulnerável e Versões Afetadas OpenChoreo versões anteriores a 1.0.3 OpenChoreo versões anteriores a 1.1.3 OpenChoreo versões anteriores a 1.2.0-rc.2

Description O endpoint 'POST /api/v1alpha1/autobuild' em 'internal/openchoreo-api/api/handlers/webhook handler.go' permite gatilhos de build não autenticados para componentes correspondentes à URL do repositório e ao branch. O problema ocorre porque o sistema seleciona um provedor de webhook com base no X-Event-Key controlado pelo chamador e aceita solicitações do Bitbucket sem um bitbucket-secret configurado ou uma assinatura HMAC-SHA256 válida no X-Hub-Signature. Isso possibilita gatilhos entre provedores usando SHAs de commit fornecidos por um invasor.

Recommendations Atualize para a versão 1.0.3. Atualize para a versão 1.1.3. Atualize para a versão 1.2.0-rc.2.