soft-serve vulnérable à une SSRF via un endpoint LFS non validé lors de l'importation de dépôt dans github.com/charmbracelet/soft-serve

L'exploitation réussie de cette vulnérabilité SSRF permet à un attaquant de contourner les contrôles d'accès et d'effectuer des requêtes vers des services internes qui seraient normalement inaccessibles. Cela peut conduire à la divulgation d'informations sensibles, à la modification de données ou même à la prise de contrôle de systèmes internes. L'attaquant pourrait, par exemple, interroger des métriques de performance internes, accéder à des fichiers de configuration contenant des mots de passe ou des clés API, ou même tenter d'exploiter d'autres vulnérabilités dans des services internes. Le rayon d'impact est potentiellement élevé, car l'attaquant peut utiliser soft-serve comme point d'entrée pour explorer et compromettre l'ensemble du réseau interne.

Applications built using the soft-serve Go library for repository management, particularly those handling external repository imports, are at risk. This includes CI/CD pipelines, build systems, and any application that leverages soft-serve to import and process Git repositories.

• go / server:

find /path/to/your/go/project -name "soft-serve.go" -print0 | xargs grep -l "LFS endpoint"

• generic web:

curl -I <your_application_url>/repo_import | grep -i "lfs"

1. 2026-03-10Disclosure

   disclosure

1. Réservé2026-03-05
2. Publiée2026-03-10
3. Modifiée2026-03-23
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour la bibliothèque soft-serve vers la version 0.11.4 ou supérieure, qui corrige la vulnérabilité SSRF. Si la mise à jour n'est pas immédiatement possible, il est recommandé de désactiver temporairement l'importation de dépôt LFS ou de mettre en place des règles de pare-feu pour restreindre les requêtes sortantes de soft-serve aux domaines autorisés. L'utilisation d'un proxy inverse avec des règles de validation des requêtes peut également aider à atténuer le risque. Après la mise à jour, vérifiez que l'importation de dépôt LFS fonctionne correctement et que les requêtes sortantes sont correctement restreintes.