CVE-2026-30832 in soft-serve
요약
\~에 의해 VulDB • 2026. 06. 05.
Soft Serve는 명령줄용 자체 호스팅 Git 서버입니다. 버전 0.6.0부터 버전 0.11.4 이전까지, 인증된 SSH 사용자는 악의적으로 구성된 --lfs-endpoint URL을 사용하여 repo import를 실행함으로써 서버가 내부/비공개 IP 주소로 HTTP 요청을 수행하도록 강제할 수 있습니다. 초기 배치 요청은 블라인드(메타데이터 엔드포인트의 응답이 유효한 LFS JSON으로 파싱되지 않음)이지만, 가짜 LFS 서버를 호스팅하는 공격자는 내부 대상指向 다운로드 URL을 반환함으로써 이를 체이닝하여 내부 서비스에 대한 전체 읽기 권한을 얻을 수 있습니다. 이 문제는 버전 0.11.4에서 패치되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.