Bitbucket Server 中发现了一个严重漏洞 (CVE-2022-43781)，Bitbucket Server 是一个用于部署用于使用 git 存储库的 Web 界面的程序包，它允许远程攻击者在服务器上执行代码。 如果在服务器上允许自行注册（启用“允许公共注册”设置），则未经身份验证的用户可以利用此漏洞。 有权更改用户名（即 ADMIN 或 SYS_ADMIN 权限）的经过身份验证的用户也可以进行操作。 目前还没有给出详细信息，目前只知道可能是通过环境变量替换命令导致的问题。
该问题出现在 7.x 和 8.x 分支中，并已在 Bitbucket Server 和 Bitbucket Data Center 版本 8.5.0、8.4.2、7.17.12、7.21.6、8.0.5、8.1.5 中修复, 8.3.3, 8.2.4, 7.6.19。 该漏洞不会出现在 bitbucket.org 云服务中，只会影响安装在其设施上的产品。 在使用 PostgreSQL 进行数据存储的 Bitbucket Server 和 Data Center 服务器上也不会出现此问题。
来源： opennet.ru