CVE-2026-82402
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W Gogs przed wersją 0.15.0+dev nieuwierzytelniony atakujący może podać cel zawierający ukośnik odwrotny do endpointu /redirect; podobne przepływy przekierowań po akcjach są również podatne. Funkcja internal/urlx/urlx.go IsSameSite waliduje znormalizowaną postać celu, podczas gdy cmd/gogs/internal/web/web.go getRedirect i inni wywołujący używają oryginalnej wartości w nagłówku Location. Ta niezgodność normalizacji ukośnika odwrotnego pozwala przeglądarkom zinterpretować wartość Location jako zewnętrzny URL względny wobec schematu, umożliwiając przekierowanie ofiar z zaufanej domeny Gogs do treści kontrolowanych przez atakującego w celu phishingu. Luka jest naprawiona w wersji 0.15.0+dev.
Ocena ryzyka
Atakujący może wykorzystać zaufaną domenę Gogs do przekierowywania użytkowników na złośliwe strony, co ułatwia phishing i kradzież poświadczeń.
Rekomendacja
Zaktualizuj Gogs do wersji 0.15.0+dev lub nowszej; do czasu aktualizacji ostrzegaj użytkowników przed podejrzanymi przekierowaniami z instancji Gogs.
Inne podatności w Gogs
Zobacz wszystkie- CVE-2025-8110WysokieAktywnie exploitowane
W API PutContents w systemie Gogs występuje nieprawidłowe przetwarzanie dowiązań symbolicznych (symlinków), co umożliwia lokalne wykonanie kodu.
- CVE-2026-52816Średnie
Gogs to otwartoźródłowa usługa Git, która przed wersją 0.14.3 miała lukę w punkcie końcowym sanitarnego przetwarzania notatników Jupyter (ipynb) na POST /-/api/sanitize_ipynb, pozwalającą na wprowadzenie dowolnych danych URI bez odpowiednich ograniczeń, co może prowadzić do ataków typu Cross-Site Scripting (XSS).
- CVE-2026-52815Średnie
Gogs, otwartoźródłowa usługa Git, przed wersją 0.14.3 ma podatność na ujawnienie informacji bez uwierzytelnienia. Punkt końcowy GET /api/v1/orgs/:orgname/teams zwraca wszystkie zespoły dla dowolnej organizacji bez wymogu uwierzytelnienia.
- CVE-2026-52810Wysokie
Gogs to otwartoźródłowa usługa Git hostowana na własnym serwerze. W wersjach przed 0.14.3, usługa Git smart HTTP autoryzowała POST …/git-receive-pack przy użyciu ciągu zapytania dostarczonego przez klienta, co pozwalało na wykonanie operacji push tam, gdzie powinno być dozwolone tylko odczyt.
- CVE-2026-52802Średnie
Gogs to otwartoźródłowa usługa Git, która przed wersją 0.14.3 zawierała podatność na otwarte przekierowania. Parametry redirect_to kontrolowane przez atakującego mogły omijać walidację, co pozwalało na przekierowanie do dowolnych zewnętrznych stron.
- CVE-2026-52799Wysokie
Gogs to otwartoźródłowa usługa Git, która przed wersją 0.14.3 umożliwiała pobieranie załączników bez weryfikacji uprawnień użytkownika. Użytkownicy nieautoryzowani mogli pobierać załączniki z prywatnych repozytoriów.
- CVE-2026-52798Wysokie
Gogs to otwartoźródłowa usługa Git, która przed wersją 0.14.3 miała lukę umożliwiającą wykonanie złośliwego kodu JavaScript. Mimo że podglądy plików .ipynb były sanitizowane po stronie serwera, ich zawartość była ponownie renderowana po stronie klienta bez odpowiedniej sanitizacji, co prowadziło do możliwości wykonania ataku XSS.
- CVE-2026-52797Wysokie
Gogs to otwartoźródłowa usługa Git, która przed wersją 0.14.0 pozwalała autoryzowanym użytkownikom na manipulowanie wartością przekazywaną do polecenia git diff. Dzięki temu, użytkownik mógł ominąć filtrację wartości i zapisać wynik porównania w dowolnej lokalizacji.
- CVE-2026-52796Niskie
Gogs przed wersją 0.14.3 zawiera podatność na atak DoS polegającą na panicznym zakończeniu działania podczas renderowania specjalnie spreparowanego wzorca indeksu zgłoszenia. Brak domknięcia nawiasu klamrowego w konfiguracji powoduje błąd w funkcji RenderIssueIndexPattern, co uniemożliwia dostęp do stron zawierających odwołania do zgłoszeń.
- CVE-2026-52795Średnie
Gogs to otwartoźródłowa usługa Git, która w wersji 0.14.3 i wcześniejszych pozwala uwierzytelnionym użytkownikom na obserwowanie prywatnych repozytoriów, do których nie mają dostępu. Problem wynika z błędnie zaimplementowanej kontroli dostępu w API Watch, co umożliwia atakującym dostęp do informacji z prywatnych repozytoriów.
Oryginalny opis (angielski, źródło NVD)
Gogs is an open source self-hosted Git service. Prior to 0.15.0+dev, an unauthenticated attacker can provide a backslash-containing target to the /redirect endpoint, and similar post-action redirect flows are also affected. internal/urlx/urlx.go IsSameSite validates a normalized form of the target while cmd/gogs/internal/web/web.go getRedirect and other callers use the original value in the Location response. This backslash normalization mismatch lets browsers interpret the Location value as a scheme-relative external URL, allowing links on a trusted Gogs domain to redirect victims to attacker-controlled content for phishing. This vulnerability is fixed in 0.15.0+dev.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS