Обход закрытой регистрации в SourceHut через форму /register/step2
Исследователь обнаружил, что при рефакторинге на Go в 2021 забыли проверять флаг закрытия регистрации. Достаточно POST-запроса с CSRF-токеном с /login. Уязвимость затрагивала версии с 0.56.11 по 0.88.9.