文章总结： 本文详细介绍了Gogs命令注入漏洞CVE-2025-8110的复现过程，该漏洞影响Gogs<=0.13.3版本。漏洞源于Gogs处理PutContentsAPI写入文件时对符号链接验证不充分，攻击者可利用此缺陷绕过路径检查，将恶意内容写到仓库目录外的任意文件，实现任意代码执行。文章提供了完整的漏洞复现环境部署步骤和利用过程，并建议通过关闭用户注册功能进行临时缓解，因为官方目前尚未发布修复补丁。 综合评分： 86 文章分类： 漏洞分析,漏洞POC,漏洞预警,WEB安全,渗透测试

【附POC及复现环境】Gogs命令注入漏洞详细复现（CVE-2025-8110）

原创

a1batr0ss

天翁安全

2025年12月16日 17:00 江苏

免责声明：本公众号所发布的全部内容，包括但不限于技术文章、POC脚本、漏洞利用工具及相关测试环境，均仅限于合法的网络安全学习、研究和教学用途。所有人在使用上述内容时，应严格遵守中华人民共和国相关法律法规以及道德伦理要求。未经明确的官方书面授权，严禁将公众号内的任何内容用于未经授权的渗透测试、漏洞利用或攻击行为。 所有人仅可在自己合法拥有或管理的系统环境中进行本地漏洞复现与安全测试，或用于具有明确授权的合法渗透测试项目。所有人不得以任何形式利用公众号内提供的内容从事非法、侵权或其他不当活动。 如因违反上述规定或不当使用本公众号提供的任何内容，造成的一切法律责任、经济损失、纠纷及其他任何形式的不利后果，均由相关成员自行承担，与本公众号无任何关联。

不错过最新的漏洞POC

为保证您可以在第一时间接收到本公众号分享的漏洞复现及POC信息，建议您在公众号“天翁安全”主页界面将“天翁安全”设为星标。

漏洞介绍

CVE-2025-8110 是一个影响开源自托管 Git 服务 Gogs 的高危远程代码执行漏洞，这个漏洞源于 Gogs 在处理通过其 PutContents API 写入文件时对 符号链接（symlink）验证不充分，攻击者可以利用这一点绕过原有的路径检查，把恶意内容写到仓库目录之外的任意文件，最终实现任意代码执行或服务器控制。研究人员在扫描中发现数百个面向互联网的实例被攻击者利用这一缺陷入侵，因此建议立即采取措施限制注册或网络访问以降低风险。

漏洞影响版本

| 产品版本 | 版本 | | — | — | | Gogs | <= 0.13.3 |

环境部署

在“CVE-2025-8110复现环境” 中的执行以下命令部署漏洞复现环境

“CVE-2025-8110复现环境” 详见文末

docker-compose up -d

部署完成后访问 http://your-ip:3000可看到如下界面，如图所示填写信息进行数据库配置

将默认分支改为main，并点击立即安装

完成安装后注册一个test用户

使用test用户创建一个仓库

至此，环境部署完成。

漏洞复现

首先在用户设置中新增一个token，后续执行漏洞利用脚本中会用到这个token

在“CVE-2025-8110漏洞利用脚本” 中的执行以下命令push一个symlink

具体内容详见文末：“Gogs命令注入漏洞详细复现步骤”

查看仓库发现成功push了一个symlink

使用burpsuite发送如下POC成功写入文件

具体POC内容详见文末：“CVE-2025-8110漏洞利用脚本”

漏洞修复

官方目前暂无修复补丁，可通过关闭用户注册功能进行缓解

修改 【Gogs路径】/conf/app.ini 文件，设置：

[auth]DISABLE_REGISTRATION = true  ; 禁止公开注册

#

知识星球

“CVE-2025-8110漏洞利用脚本”、“CVE-2025-8110复现环境”、“Gogs命令注入漏洞详细复现步骤”现已全部发布至知识星球，大家可在知识星球内获取，自行学习复现。

星球加入方式见文章底部二维码，欢迎加入交流和学习

查看原文：《【附POC及复现环境】Gogs命令注入漏洞详细复现（CVE-2025-8110）》