GitHub 安全公告库 (GHSA)·· 1 天前AI 评分40
OpenChoreo 授权绕过漏洞：WorkflowRun 更新可跨项目接管工作流运行
OpenChoreo: Authorization bypass on WorkflowRun update allows cross-project takeover of workflow runs
AI 导读
OpenChoreo API server 的 `PUT .../workflowruns/{runName}` 接口从请求体读取归属标签做授权校验，却按 URL 路径定位实际修改对象，持有某组件 `workflowrun:update` 权限的已认证调用者可借此改写其他项目或组件的 WorkflowRun 归属标签，进而读取构建日志、Kubernetes 事件或删除该运行。
来源：GitHub 安全公告库 (GHSA) · github.com