Autentimist nõudev RCE haavatavus Gogs'is argumendi süstimise kaudu (parandamata seisuga mai 2026) (rapid7.com)

• Kriitiline argumendi süstimine (CVSSv4 9.4) Gogs'is kuni versioonideni 0.14.2 ja 0.15.0+dev
• Ründaja vajab ainult autentitud kontot; administraatoriõigused pole vajalikud
• Parandus puudub; Metasploiti moodul avaldatud; leevendused: piira registreerimist ja hoidlate loomist

"Rapid7 avalikustas kriitilise argumendi süstimise haavatavuse (CVSSv4 9.4) Gogs'is, mis on isemajutatud Git-teenus. Iga autentitud kasutaja saab serveris koodi kaugkäivitada, luues tõmbetaotluse pahatahtliku haru nimega, mis süstib `--exec` lipu `git rebase`-i ühendamise ajal. Parandus pole saadaval. Mõjutatud on kõik versioonid, mis toetavad rebase'iga ühendamist. Leevendusmeetmed hõlmavad kasutajate registreerimise ja hoidlate loomise piiramist."