OliveTin обеспечивает безопасный и простой доступ к предопределенным командам оболочки из веб-интерфейса. До версии 3000.17.0 конечные точки service/internal/api/api.go StartActionAndWait и StartActionByGetAndWait возвращают полный вывод LogEntry после выполнения, не применяя разрешения журналов, позволяя пользователю с разрешением exec, но logs:false читать выходные данные действия. Эта проблема исправлена в версии 3000.17.0.
Показать оригинальное описание (EN)
OliveTin gives safe and simple access to predefined shell commands from a web interface. Prior to 3000.17.0, the service/internal/api/api.go StartActionAndWait and StartActionByGetAndWait endpoints return full LogEntry output after execution without enforcing the logs permission, allowing a user with exec permission but logs:false to read action output. This issue is fixed in version 3000.17.0.
Характеристики атаки
Последствия
Строка CVSS v3.1