Un'installazione predefinita di Gogs offre a un attaccante l'intera forge, non un singolo repo. Il controllo standard di “only trusted repo owners can rebase” non considera che la registrazione aperta e la creazione di repo consentono a uno sconosciuto di creare il proprio account, quindi raggiungere l'esecuzione di comandi lato server tramite rebase merging.
Part of the PlainSec briefing for 2026-05-28