漏洞概述 漏洞标题: security: reject path traversal in owner and repository names #8334 漏洞描述: 组织创建API接受任何非空字符串作为用户名,包括路径遍历序列(如 )。所有者和仓库名称通过 和 流到文件系统路径,导致攻击者可以在其选择的目录中放置git目录,最终允许远程代码执行。 影响范围 影响组件: 组织创建API 影响版本: 0.14.3 影响用户: 所有使用该API创建组织的用户 修复方案 修复内容: 1. API 字段现在通过 绑定,与web表单相同,在传递给任何逻辑之前拒绝遍历字符。 2. 和 不再通过 运行其输入,即使名称包含遍历片段,文件系统路径也包含在仓库根目录内。 POC代码 其他信息 提交者: unknown 提交时间: 3 weeks ago 合并时间: 3 weeks ago 里程碑: 0.14.3 相关链接: - GHSAs-c39w-43gm-34h5 - GoVulnDB