CVE-2026-52813 — Gogs — Corrigé dans 0.14.3
Gogs est un service Git auto-hébergé open source. Avant la version 0.14.3, les noms d'organisation contenant des séquences de path traversal (../) sont acceptés par Gogs, et les dépôts associés sont écrits dans des chemins suivant ces path traversals. Cela permet de stocker/récupérer des données pour des dépôts à des emplacements arbitraires sur le système de fichiers. En créant une structure imbriquée de dépôts Git, on peut écraser la configuration des hooks de l'autre pour aboutir à une Remote Code Execution (RCE). Cette vulnérabilité est corrigée dans la version 0.14.3.
Versions corrigées
Choisissez la version correspondant au produit et à la branche installée.
| Produit | Versions corrigées |
|---|---|
| Gogs | 0.14.3 |
Alerte précoce : exploitation observée
- Exploitation observée depuis le 26 juin 2026
- Pas encore dans le catalogue officiel de la CISA
- Première attaque observée 1 jour après la divulgation
- Confirmée par des capteurs, pas seulement par des signalements
Source : VulnCheck KEV · 11 juil. 2026 9 juil. 2026 26 juin 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HArticles liés
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.