CVE-2026-25242
CriticalSummary
Gogs to otwartoźródłowa usługa Git, która w wersjach 0.13.4 i poniżej domyślnie udostępnia nieautoryzowane punkty przesyłania plików. Gdy globalne ustawienie RequireSigninView jest wyłączone, każdy zdalny użytkownik może przesyłać dowolne pliki na serwer.
Risk Assessment
Może to prowadzić do nadużywania instancji jako publicznego hosta plików, co może skutkować wyczerpaniem miejsca na dysku, hostingiem nieodpowiednich treści lub dostarczaniem złośliwego oprogramowania.
Recommendation
Zaleca się aktualizację do wersji 0.14.1, aby usunąć tę podatność oraz włączenie ustawienia RequireSigninView w celu zabezpieczenia punktów przesyłania plików.
Original NVD description (English source)
Gogs is an open source self-hosted Git service. Versions 0.13.4 and below expose unauthenticated file upload endpoints by default. When the global RequireSigninView setting is disabled (default), any remote user can upload arbitrary files to the server via /releases/attachments and /issues/attachments. This enables the instance to be abused as a public file host, potentially leading to disk exhaustion, content hosting, or delivery of malware. CSRF tokens do not mitigate this attack due to same-origin cookie issuance. This issue has been fixed in version 0.14.1.