CVE-2018-16873

Go-nun 1.10.6-dan əvvəlki və 1.11.x versiyasının 1.11.3-dən əvvəlki versiyalarında, "go get" əmri -u bayrağı və zərərli Go paketinin və ya onu birbaşa yaxud dolayısı ilə idxal edən paketin import yolu ilə icra edildikdə uzaqdan kodun icrasına qarşı həssasdır. Xüsusilə, bu boşluq yalnız GOPATH rejimində mövcuddur, modul rejimində isə yoxdur (fərqlər https://golang.org/cmd/go/#hdr-Module_aware_go_get ünvanında sənədləşdirilib). Fərdi domenlərdən istifadə etməklə, "/.git" ilə bitən vanity import yolundan istifadə edərək Git repozitoriyasının ".git" adlı qovluğa klonlanmasını təmin etmək mümkündür. Əgər Git repozitoriyasının kök kataloqunda "HEAD" faylı, "config" faylı, "objects" kataloqu və "refs" kataloqu varsa, əməliyyatların düzgün ardıcıllığını təmin etmək üçün müəyyən işlər görülərək, "go get -u" əmrini valideyn kataloqunu repozitoriya kökü kimi qəbul etməyə və onun üzərində Git əmrlərini işə salmağa məcbur etmək olar. Bu zaman konfiqurasiya üçün orijinal Git repozitoriyasının kök kataloqundakı "config" faylından istifadə olunacaq və əgər həmin konfiqurasiya faylı zərərli əmrlər ehtiva edirsə, onlar "go get -u" əmrini işə salan sistemdə icra ediləcəkdir.