CVE-2026-25242
KrytyczneStreszczenie
Gogs to otwartoźródłowa usługa Git, która w wersjach 0.13.4 i poniżej domyślnie udostępnia nieautoryzowane punkty przesyłania plików. Gdy globalne ustawienie RequireSigninView jest wyłączone, każdy zdalny użytkownik może przesyłać dowolne pliki na serwer.
Ocena ryzyka
Może to prowadzić do nadużywania instancji jako publicznego hosta plików, co może skutkować wyczerpaniem miejsca na dysku, hostingiem nieodpowiednich treści lub dostarczaniem złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację do wersji 0.14.1, aby usunąć tę podatność oraz włączenie ustawienia RequireSigninView w celu zabezpieczenia punktów przesyłania plików.
Oryginalny opis (angielski, źródło NVD)
Gogs is an open source self-hosted Git service. Versions 0.13.4 and below expose unauthenticated file upload endpoints by default. When the global RequireSigninView setting is disabled (default), any remote user can upload arbitrary files to the server via /releases/attachments and /issues/attachments. This enables the instance to be abused as a public file host, potentially leading to disk exhaustion, content hosting, or delivery of malware. CSRF tokens do not mitigate this attack due to same-origin cookie issuance. This issue has been fixed in version 0.14.1.