CVE-2026-58369

Nome do Software Vulnerável e Versões Afetadas Woodpecker versões anteriores a 3.15.0

Descrição O software registra o endpoint '/api/orgs/lookup/*org full name' sem middleware de autenticação. O manipulador LookupOrg desreferencia incondicionalmente o usuário da sessão (user.ForgeID via ForgeFromUser) ao selecionar a forja para consulta. Para solicitações não autenticadas, o usuário da sessão retorna nil, desencadeando uma desreferência de ponteiro NULL. Embora o servidor continue a operar retornando um erro HTTP 500, cada solicitação gera um rastreamento de pilha de pânico de várias linhas no log de erros. Um invasor não autenticado pode sondar repetidamente este endpoint para inundar os logs, aumentando o uso de disco e os custos de ingestão de logs, além de ocultar eventos de log legítimos.

Recomendações Atualize para a versão 3.15.0 ou posterior.