Uwierzytelniona podatność RCE w Gogs poprzez wstrzyknięcie argumentów (niezałatana do maja 2026) (rapid7.com)

• Krytyczne wstrzyknięcie argumentów (CVSSv4 9.4) w Gogs do wersji 0.14.2 i 0.15.0+dev
• Atakujący potrzebuje tylko uwierzytelnionego konta; bez wymaganych uprawnień administratora
• Brak łatki; opublikowano moduł Metasploit; środki zaradcze: ograniczenie rejestracji i tworzenia repozytoriów

"Rapid7 ujawniło krytyczną podatność na wstrzyknięcie argumentów (CVSSv4 9.4) w Gogs, samodzielnie hostowanej usłudze Git. Każdy uwierzytelniony użytkownik może zdalnie wykonać kod na serwerze, tworząc pull request ze złośliwą nazwą gałęzi, która wstrzykuje flagę `--exec` do `git rebase` podczas scalania. Nie ma dostępnej łatki. Dotyczy to wszystkich wersji obsługujących scalanie przez rebase. Środki zaradcze obejmują ograniczenie rejestracji użytkowników i tworzenia repozytoriów."