OpenChoreo WorkflowRun 更新授权绕过漏洞

OpenChoreo API server 的 `PUT .../workflowruns/{runName}` 接口存在授权绕过：它依据请求体中的归属标签做授权校验，却按 URL 路径定位实际修改对象。GitHub 安全公告库称，已认证调用者若在受害命名空间的项目或组件范围持有授予 `workflowrun:update` 的 `AuthzRoleBinding` 或 `ClusterAuthzRoleBinding`，并知道目标运行名称，即可改写其他项目或组件的 WorkflowRun 归属标签，进而读取构建日志、Kubernetes 事件或删除该运行。 公告将影响范围限定为同一命名空间内的跨项目、跨组件提权，而非跨租户问题。受影响版本为 1.0.0 至 1.0.5 和 1.1.0 至 1.1.6，修复版本分别为 1.0.6 和 1.1.7。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。