Veille sécuritéBackend & données
P4Moyenne
GHSA-fgxm-5hvv-x4vh concerne Soft Serve, écrit en Go : des requêtes pouvaient révéler l’existence, le nom et l’URL de clonage de dépôts privés, et certains chemins LFS pouvaient provoquer une erreur serveur. Les versions de 0.5.0 à 0.12.2 sont affectées ; mettre à jour vers 0.12.3 ou une version ultérieure.
Go
IdentifiantAvis de sécurité
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif0.12.3
Analyse technique
Les contrôles d’accès et le traitement des chemins de dépôt ne vérifiaient pas correctement les droits de lecture avant de répondre aux requêtes HTTP concernées.
Impact, versions et correctif
Événement datéL’avis GitHub indique une publication le 2026-10-30 à 14:42:35 UTC, soit le 2026-10-30 à 16:42:35 +02:00, dans la période demandée.
ImpactUn utilisateur distant peut confirmer l’existence et le nom de dépôts privés ainsi que leurs URL de clonage ; certains chemins LFS peuvent retourner une erreur 500.
Versions affectées>= 0.5.0, < 0.12.3
Version corrigée0.12.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-30T14:42:35Z
Mise à jour2026-10-30T14:42:37Z
Action recommandée
Mettre à jour Soft Serve vers la version 0.12.3 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).