CVE-2026-53552

Goploy açık kaynaklı bir otomasyon dağıtım sistemidir. 1.17.5 ve önceki sürümlerde, cmd/server/api/project/handler.go içerisindeki Project.AddFile, Project.EditFile, Project.RemoveFile ve Project.Edit fonksiyonları, JSON gövdesinden bir proje veya proje-dosya satır kimliği (row id) kabul eder ve projenin çağıran kişinin ad alanına (namespace) ait olup olmadığını kontrol etmeden işlem yapar. İlgili model.ProjectFile.GetData ve model.Project.GetData sorguları yalnızca satır kimliğine göre filtreleme yapar. Kendi ad alanında yönetici rolüne (veya FileSync / EditProject iznini içeren herhangi bir role) sahip olan bir kullanıcı, kurulum genelindeki herhangi bir projedeki dosyaları okuyabilir, yazabilir veya silebilir ve gövdede yabancı kimliği göndererek herhangi bir projenin git uzak URL'sini yeniden yazabilir. git-URL primitifi, bir sonraki dağıtımda uzaktan kod çalıştırmaya (RCE) yol açar çünkü Edit işlemi, projenin çalışma ağacı üzerinde git remote set-url komutunu çalıştırır. Yayınlandığı sırada, bilinen halka açık bir yama bulunmamaktadır.