Soft Serveはコマンドライン用のセルフホスト型Gitサーバーです。バージョン0.11.2以前では、LFSロック削除エンドポイントにおける認可バイパスにより、リポジトリへの書き込みアクセス権を持つ認証済みユーザーがforceフラグを設定すると他ユーザーが所有するロックを削除できました。脆弱なコードパスはユーザーコンテキストの取得前にforce削除を処理しており、所有権の検証を完全に回避していました。この問題はバージョン0.11.2で修正されています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。