CVE-2026-58369
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Woodpecker przed wersją 3.15.0 udostępnia endpoint /api/orgs/lookup/*org_full_name bez uwierzytelniania, a procedura obsługi LookupOrg bezwzględnie wyłuskuje użytkownika sesji (user.ForgeID przez ForgeFromUser) przy wyborze forga do zapytania. Dla nieuwierzytelnionego żądania session.User zwraca nil, co powoduje wyłuskanie wskaźnika NULL i panikę. Panika jest przechwytywana przez middleware gin recovery, a serwer kontynuuje działanie (zwracając HTTP 500), ale każde żądanie zapisuje wieloliniowy ślad paniki do dziennika błędów.
Ocena ryzyka
Nieuwierzytelniony atakujący może wielokrotnie sondować endpoint, powodując zapis około 37 linii śladu paniki na żądanie, co prowadzi do nadmiernego zużycia miejsca na dysku, zwiększenia kosztów przetwarzania logów oraz zagłuszania prawidłowych zdarzeń w dziennikach.
Rekomendacja
Zaleca się natychmiastową aktualizację Woodpecker do wersji 3.15.0 lub nowszej, która zawiera poprawkę usuwającą podatność. Jako tymczasowe zabezpieczenie można ograniczyć dostęp do endpointu /api/orgs/lookup/* za pomocą reguł firewalla lub odwrotnego proxy.
Inne podatności w Woodpecker
Oryginalny opis (angielski, źródło NVD)
Woodpecker before 3.15.0 registers the /api/orgs/lookup/*org_full_name endpoint without authentication middleware, and the LookupOrg handler unconditionally dereferences the session user (user.ForgeID, via ForgeFromUser) when selecting the forge to query. For an unauthenticated request session.User returns nil, so any unauthenticated HTTP request triggers a NULL pointer dereference in the handler. The panic is recovered by gin recovery middleware and the server continues serving (returning HTTP 500), but each request writes a multi-line panic stack trace to the error log. A low-bandwidth unauthenticated attacker can repeatedly probe the endpoint to flood the logs (about 37 lines per request), inflating disk usage and downstream log-ingestion cost and burying legitimate log events.