Veille sécuritéBackend & données
P4Moyenne
GHSA-f3fj-9625-rv3m concerne Soft Serve : une course lors du changement de visibilité pouvait laisser en cache l’état public d’un dépôt, maintenant son contenu accessible sans authentification après son passage en privé. Les versions 0.6.0 à 0.12.2 sont concernées ; mettre à jour vers 0.12.3 ou une version ultérieure.
Go
IdentifiantAvis de sécurité
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif0.12.3
Analyse technique
L’avis signale également un risque accru lorsque plusieurs processus Soft Serve partagent une base de données, car leurs caches de visibilité ne sont pas synchronisés.
Impact, versions et correctif
Événement datéL’avis GitHub indique une publication le 2026-10-30 à 14:53:57 UTC, soit le 2026-10-30 à 16:53:57 +02:00, dans la période demandée.
ImpactUn utilisateur non authentifié peut continuer à lire un dépôt après son passage en privé, y compris les contenus ajoutés ensuite.
Versions affectées>= 0.6.0, < 0.12.3
Version corrigée0.12.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
Publication2026-10-30T14:53:57Z
Mise à jour2026-10-30T14:54:00Z
Action recommandée
Mettre à jour Soft Serve vers la version 0.12.3 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).