OSSA-2020-007：blazar-dashboard 中的远程代码执行¶
- 日期:
2020 年 10 月 12 日
- CVE:
CVE-2020-26943
影响¶
Blazar-dashboard：<1.3.1，==2.0.0，==3.0.0
描述¶
Positive Security 的 Lukas Euler 报告了 blazar-dashboard 中的一个漏洞。允许访问 Horizon 中 Blazar dashboard 的用户可能会在 Horizon 服务运行的用户权限下，在 Horizon 主机上触发代码执行。这可能导致 Horizon 主机未经授权的访问，并进一步损害 Horizon 服务。所有使用 Horizon dashboard 和 blazar-dashboard 插件的配置都受到影响。
补丁¶
https://review.opendev.org/755812 (Ussuri)
https://review.opendev.org/756064 (Victoria)
https://review.opendev.org/755810 (Wallaby)
鸣谢¶
Positive Security 的 Lukas Euler (CVE-2020-26943)
