阿里云漏洞库

CVE编号

CVE-2021-21242

利用情况

暂无

补丁情况

N/A

披露时间

2021-01-16

Theonedev Onedev是Theonedev团队的一个基于JAVA的多合一DevOps平台。该平台支持容器构建、编排、CI、Git管理、团队协作等功能，帮助开发者构建一个简单、功能强大的开发平台。

Theonedev Onedev 4.0.3之前版本存在注入漏洞，该漏洞源于AttachmentUploadServlet从Attachment Support标头反序列化不受信任的数据。此Servlet未强制执行任何身份验证或授权检查。攻击者可利用该漏洞在认证前远程代码执行。

厂商已发布了漏洞修复程序，请及时关注更新：https://github.com/theonedev/onedev/commit/f864053176c08f59ef2d97fea192ceca46a4d9be

参考链接
https://github.com/theonedev/onedev/commit/f864053176c08f59ef2d97fea192ceca46a4d9be
https://github.com/theonedev/onedev/security/advisories/GHSA-5q3q-f373-2jv8