CVE-2022-23773
Publiée le 2022-02-11 · Dernière modification le 2026-06-17
La chaîne d'outils Go (versions antérieures à 1.16.14 et 1.17.7) peut être induite en erreur en confondant le nom d'une branche git avec un tag de version. Un attaquant disposant d'un accès réseau peut exploiter cette faille pour contourner les contrôles d'accès, ce qui pourrait lui permettre d'injecter des modifications non autorisées s'il a la permission de créer des branches mais pas des tags. Cette attaque est relativement facile à exécuter car elle ne nécessite ni authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
cmd/go in Go before 1.16.14 and 1.17.x before 1.17.7 can misinterpret branch names that falsely appear to be version tags. This can lead to incorrect access control if an actor is supposed to be able to create branches but not tags.