Новый 0-day в Gogs бьёт по версиям 0.14.2 и 0.15.0+dev. Rapid7 говорит, что админка атакующему не нужна. Достаточно зарегистрироваться, создать репозиторий и подготовить pull request с хитрым именем ветки.
Схема простая и неприятная. Gogs передаёт имя ветки в логику Merge(), где можно подсунуть аргумент --exec для git rebase. Когда сервер делает «Rebase before merging», Git выполняет команду атакующего уже на стороне сервера.
Рекомендации следующие: закройте регистрацию, проверьте права на создание репозиториев и уберите Gogs из прямого доступа с интернета. Отключите «Rebase before merging», если функция не нужна. Логи и новые репозитории лучше проверить вручную, особенно на публичных инстансах.