CVE-2026-87720

Nome do Software Vulnerável e Versões Afetadas Gerrit Code Review versões 2.16.0 through 3.12.9 Gerrit Code Review versões 3.13.0 through 3.13.8 Gerrit Code Review versões 3.14.0 through 3.14.2

Description Ocorre uma autorização incorreta durante a normalização do nome do projeto em ProjectUtil.stripGitSuffix() e na expulsão do cache do projeto em ProjectCacheImpl. Um usuário autenticado, ou um usuário não autenticado caso o repositório tenha sido público anteriormente, pode causar a divulgação não autorizada de conteúdo de repositórios privados e restaurar privilégios administrativos de proprietário de projeto revogados. Isso é feito por meio de requisições manipuladas usando sufixos .git repetidos (ex: project.git.git) em APIs REST, Gitiles ou comandos Git via SSH. O problema ocorre porque o sistema remove apenas um único sufixo .git terminal ao construir a chave lógica do ProjectCache, enquanto o JGit resolve o alias com sufixo para o mesmo repositório bare canônico no disco. Consequentemente, a revogação do acesso de leitura ou a remoção de regras de proprietário no nome canônico do projeto falha em expulsar o ProjectState do alias em cache durante a janela de validade do cache, permitindo a leitura de commits privados recém-criados ou gravações em refs/meta/config.

Recommendations Atualizar Gerrit Code Review versões 2.16.0 through 3.12.9 para a versão 3.12.10. Atualizar Gerrit Code Review versões 3.13.0 through 3.13.8 para a versão 3.13.9. Atualizar Gerrit Code Review versões 3.14.0 through 3.14.2 para a versão 3.14.3.