Argument Injection (CWE-88) CVSSv4 9.4 (Critical) в Gogs — популярном self-hosted Git-сервисе. Уязвимость позволяет любому аутентифицированному пользователю добиться удаленного выполнения кода #RCE на сервере. Это происходит путем создания Pull Request с вредоносным именем ветки, которое внедряет флаг --exec в команду git rebase во время операции слияния с опцией «Rebase before merging».
Уязвимы: Gogs <= 0.14.2 и 0.15.0+dev