Hacktron compromet GNU Savannah via injection shell dans un champ email, accès root et push Bash
🔍 Contexte Publié le 30 octobre 2026 sur le blog de Hacktron (hacktron.ai), cet article est un post-mortem de recherche offensive menée sur GNU Savannah, la forge logicielle hébergeant des projets GNU critiques comme Bash et Coreutils. La recherche a été conduite via la plateforme Hacktron et signalée à la FSF le 11 mai 2026. 🐛 Vulnérabilité principale — HCK-001 (Critique) La forge utilise Savane, une application PHP héritée du code SourceForge de 2001. Le validateur d’adresses email (check_email) accepte des caractères spéciaux comme les backticks dans la partie locale d’une adresse, conformément à la RFC. Lors du test de clé GPG (/my/admin/gpgkeys), la fonction test_listing() concatène l’adresse email directement dans une commande shell passée à gpg via utils_run_proc(), sans échappement. ...