🦠 В Git-сервисе Gogs обнаружены четыре уязвимости безопасности, включая три критические.

Они позволяют злоумышленнику получить доступ к исходному коду, удалить его, внедрить бэкдоры и получить дополнительные привилегии.

- CVE-2024-39930 (оценка CVSS: 9,9) - внедрение аргументов во встроенный SSH-сервер;
- CVE-2024-39931 (оценка CVSS: 9,9) - удаление внутренних файлов;
- CVE-2024-39932 (оценка CVSS: 9,9) - внедрение аргументов во время предварительного просмотра изменений;
- CVE-2024-39933 (оценка CVSS: 7,7) - внедрение аргументов при пометке новых выпусков.

Использование первых трех уязвимостей может позволить злоумышленнику выполнять произвольные команды на сервере Gogs, а четвертая позволяет злоумышленникам читать произвольные файлы, такие как исходный код и секреты конфигурации.

Подробнее: https://extrim-security.ru/news-ib/tpost/0hfs1gexl1-v-gogs-open-source-git-service-obnaruzhe