CVE-2019-17633

总结

对于 Eclipse Che 6.16 至 7.3.0 版本，在同时禁用身份验证和 TLS 的情况下，访问恶意网站可能会触发任意 Che 工作区的启动。未启用身份验证且未启用 TLS 的 Che 通常不会部署在公共网络上，但常用于本地安装（例如个人笔记本电脑）。在这种情况下，即使 Che API 未对外暴露，本地浏览器中运行的某些 javascript 也能够向其发送请求。

• CVE-2019-17633PoC

  Eclipse Che CSRF 漏洞导致 RCE