CVE-2026-58369

Woodpecker 3.15.0 öncesi sürümlerde, /api/orgs/lookup/*org_full_name uç noktası kimlik doğrulama ara yazılımı olmadan kaydedilmektedir ve LookupOrg işleyicisi, sorgulanacak forge'u seçerken oturum kullanıcısını (ForgeFromUser aracılığıyla user.ForgeID) koşulsuz olarak çözümler. Kimlik doğrulanmamış bir istek için session.User nil döndürür, bu nedenle herhangi bir kimlik doğrulanmamış HTTP isteği, işleyicide bir NULL pointer dereference tetikler. Panik durumu gin kurtarma ara yazılımı tarafından giderilir ve sunucu hizmet vermeye devam eder (HTTP 500 döndürerek), ancak her istek hata günlüğüne çok satırlı bir panik yığın izi (stack trace) yazar. Düşük bant genişliğine sahip kimlik doğrulanmamış bir saldırgan, günlükleri doldurmak için (istek başına yaklaşık 37 satır) uç noktayı tekrar tekrar yoklayarak disk kullanımını ve alt akıştaki günlük alım maliyetini artırabilir ve meşru günlük olaylarını gizleyebilir.