CVE-2020-14144

सारांश

Gitea 1.1.0 से 1.12.5 तक के संस्करणों में गिट हुक (git hook) सुविधा, उन ग्राहक वातावरणों में प्रमाणित रिमोट कोड निष्पादन (authenticated remote code execution) की अनुमति दे सकती है जहाँ दस्तावेज़ीकरण को समझा नहीं गया था (उदाहरण के लिए, एक दृष्टिकोण यह है कि इस सुविधा की खतरनाकता को कॉन्फ़िग फ़ाइल में ENABLE_GIT_HOOKS लाइन के ठीक ऊपर दस्तावेज़ित किया जाना चाहिए)। ध्यान दें: विक्रेता ने संकेत दिया है कि यह कोई भेद्यता नहीं है और कहता है "यह सॉफ़्टवेयर की एक कार्यक्षमता है जो खातों के एक बहुत ही सीमित उपसमूह तक सीमित है। यदि आप किसी को अपने सर्वर पर मनमाना कोड निष्पादित करने का विशेषाधिकार देते हैं, तो वे आपके सर्वर पर मनमाना कोड निष्पादित कर सकते हैं। हम उपयोगकर्ताओं को इस कार्यक्षमता और यह क्या प्रदान करती है, के बारे में बहुत स्पष्ट चेतावनी प्रदान करते हैं।"

स्रोत