PT-2026-41119 · Onedev · Onedev

Forimoc + 3 · Publicado 2026-05-14 · Atualizado 2026-05-15 · CVE-2026-44647

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas OneDev versões anteriores a 15.0.2

Descrição O OneDev é um servidor Git com CI/CD, kanban e pacotes. Existe uma falha onde a fronteira entre os metadados LFS (Large File Storage) controlados pelo repositório e os caminhos do sistema de arquivos local do servidor é rompida. Isso permite que um objeto de repositório direcione leituras de blobs brutos para arquivos locais arbitrários acessíveis pela conta do servidor. Consequentemente, qualquer usuário com permissão de push em um repositório poderá acessar quaisquer arquivos do servidor que o processo do servidor tenha permissão para ler.

Recomendações Atualizar para a versão 15.0.2.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-44647

Produtos afetados

Onedev

Referências · 5

• https://github.com/theonedev/onedev/security/advisories/GHSA-59wq-74xg-w85v · Nota
• https://t.me/CVEtracker/53840 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2055074237832929605 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-44647 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2055103577840898487 · Publicação no Twitter