Tóm tắt nhanh
- CVE-2025-64494 là lỗ hổng mức TRUNG BÌNH (CVSS 4.6) ảnh hưởng github.com/charmbracelet/soft-serve.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.19%, cao hơn 8.8% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 0.11.0 hoặc mới hơn.
Mô tả
Impact
In several places where the user can insert data (e.g. names), ANSI escape sequences are not being removed, which can then be used, for example, to show fake alerts.
In the same token, git messages, when printed, are also not being sanitized.
Places in which this was found:
- Repository Description (pkg/backend/repo.go - SetDescription)
- Repository Project Name (pkg/backend/repo.go - SetProjectName)
- Git Commit Author Names (pkg/ssh/cmd/commit.go:69)
- Git Commit Messages (pkg/ssh/cmd/commit.go:71)
- Access Token Names (pkg/ssh/cmd/token.go:107)
- Webhook URLs (pkg/ssh/cmd/webhooks.go:72)
Patches
v0.11.0
Workarounds
No.
References
n/a
Mô tả của NVD
Soft Serve is a self-hostable Git server for the command line. In versions prior to 0.10.0, there are several places where the user can insert data (e.g. names) and ANSI escape sequences are not being removed, which can then be used, for example, to show fake alerts. In the same token, git messages, when printed, are also not being sanitized. This issue is fixed in version 0.10.0.
Lỗ hổng khác của github.com/charmbracelet/soft-serve
Xem tất cả →Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí