三个 Gogs 远程代码执行漏洞的公开利用程序已发布，CVSS 评分最高达 10

sec随谈
sec随谈

sec随谈

2026年6月26日 11:40
北京

在小说阅读器读本章

去阅读

摘要

Gogs 在 0.14.3 版本中修复了三个严重的远程代码执行（RCE）漏洞。每个 Gogs RCE 漏洞的 CVSS 评分介于 9.4 至 10 之间。目前这三个漏洞的公开细节和概念验证（PoC）利用代码均已存在。

影响为何重大

Gogs 是一款用 Go 语言编写的热门自托管 Git 服务。据 Rapid7 统计，它在 GitHub 上约有 50,000 颗星。许多小型团队和实验室因其轻量化的特点而选择它。默认情况下，Gogs 允许任何人自助注册账户。因此，这些漏洞可被任何访问者触及，而不仅限于内部人员。

Gogs 还以单一进程用户（通常为 git）运行。该用户可以读写每一个托管的代码仓库。因此，单个漏洞就可能暴露实例上的所有项目。Rapid7 统计出约有 1,141 个面向互联网的实例，而隐藏在 VPN 之后的实例可能更多。简而言之，这些 Gogs RCE 漏洞使整个服务器面临风险。

攻击如何实现

CVE-2026-52813：路径遍历导致 RCE（CVSS 10）

最严重的漏洞获得了 CVSS 满分 10 分。Gogs 未能对组织名称进行清理。因此，包含遍历序列的名称可以将文件写入预期文件夹之外的位置。攻击者随后可借此触及可编辑的 Git 工作树并覆盖一个钩子（hook）脚本。该钩子随后会以 git 用户的身份运行 shell 命令。

CVE-2026-52806：rebase 参数注入（CVSS 9.9）

第二个漏洞滥用了拉取请求（pull request）的 rebase 功能。精心构造的分支名称会向 git 命令注入一个额外的选项。服务器随后会在合并过程中运行攻击者提供的命令。任何创建仓库的用户都可以启用所需的设置。因此，无需管理员权限，也无需受害者交互。

CVE-2026-52811：符号链接文件写入（CVSS 9.4）

第三个漏洞针对文件上传路径。Gogs 仅检查路径的最后一个组成部分是否为符号链接。因此，精心构造的文件名可以通过预先植入的符号链接来重定向写入操作。攻击者随后可以投放 SSH 密钥或恶意钩子。这一立足点在重启后仍可保留。该漏洞影响 Linux 和 macOS，但不影响 Windows。

利用现状

Gogs 团队为这三个问题均发布了安全公告。关键在于，每份公告都包含一个可用的概念验证（PoC）利用代码。因此，目前的攻击门槛已非常低。不过，尚无证据证实这三个 CVE 已在野外被实际利用。

受影响的版本

这三个漏洞均影响 0.14.3 之前的 Gogs 版本。涵盖二进制安装、Docker 安装和源码安装。

补丁与缓解措施

立即将 Gogs 更新至 0.14.3 版本。维护者已于 2026 年 6 月 7 日发布该版本，它修复了全部三个 Gogs RCE 漏洞。你可以从官方的 0.14.3 发布页面获取。在打补丁之前，可暂时禁用开放注册作为权宜之计。此外，还应限制能够创建组织和仓库的用户范围。升级后，请检查 Git 钩子和 authorized\_keys 文件是否存在异常更改。完整的安全公告请参阅 Gogs 安全页面。

参考链接：

https://github.com/gogs/gogs/releases/tag/v0.14.3