soft-serve vulnerable a SSRF a través de un endpoint LFS no validado en la importación de repositorios en github.com/charmbracelet/soft-serve

Un atacante que explote esta vulnerabilidad puede realizar solicitudes a cualquier URL accesible desde el servidor donde se ejecuta soft-serve. Esto incluye la posibilidad de leer archivos internos, acceder a servicios internos sin autenticación y, en algunos casos, ejecutar comandos en el servidor. El alcance del impacto depende de la configuración del servidor y los permisos del usuario que ejecuta soft-serve. La capacidad de leer archivos internos podría revelar credenciales, claves API u otra información confidencial. La falla se origina en la importación de repositorios LFS (Large File Storage) donde no se valida correctamente la URL de destino, permitiendo al atacante manipularla para acceder a recursos no deseados.

Applications built using the soft-serve Go library for repository management, particularly those handling external repository imports, are at risk. This includes CI/CD pipelines, build systems, and any application that leverages soft-serve to import and process Git repositories.

• go / server:

find /path/to/your/go/project -name "soft-serve.go" -print0 | xargs grep -l "LFS endpoint"

• generic web:

curl -I <your_application_url>/repo_import | grep -i "lfs"

1. 2026-03-10Disclosure

   disclosure

1. Reservado2026-03-05
2. Publicada2026-03-10
3. Modificada2026-03-23
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar a la versión 0.11.4 de soft-serve, donde la vulnerabilidad ha sido corregida. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Una opción es configurar un Web Application Firewall (WAF) para bloquear solicitudes sospechosas que intenten acceder a recursos internos. Otra medida es validar rigurosamente la entrada proporcionada por el usuario, especialmente las URLs de los repositorios LFS. Implementar reglas de firewall para restringir el acceso a servicios internos desde el exterior también puede ayudar a reducir el riesgo. En entornos Go, se puede implementar una validación estricta de la URL antes de realizar la solicitud.