CVSS 10.0! Gogs爆出致命RCE漏洞，公开PoC已放出，数万自建Git服务器面临失陷！

原创

tuto
tuto

杂杂咱谈

2026年6月27日 10:50
福建

在小说阅读器读本章

去阅读

一、漏洞概览

开源自建 Git 服务平台 Gogs 被曝出两枚高危/严重级别远程代码执行漏洞：

• CVE-2026-52813 (CVSS 10.0)
• CVE-2026-52806 (CVSS 9.9)

攻击者可通过漏洞链组合利用 (Chained Exploit) 实现：

远程代码执行(RCE)→ 完全控制服务器权限

公开 PoC 已发布，攻击门槛显著降低。

二、影响版本

受影响范围：

• Gogs ≤ 0.14.2

官方已在：

• 0.14.3 版本修复

三、漏洞核心问题解析

本次漏洞主要由两类问题组合形成攻击链：

1. 路径穿越 + Git Hooks 利用 (CVE-2026-52813)

攻击者可利用：

• org-name 路径处理不当
• 目录穿越 (Path Traversal)
• 写入 Git Hook 脚本

最终实现：

在服务器 Git Hook 执行任意系统命令

2. PR 合并 Git Rebase 注入 (CVE-2026-52806)

在 Pull Request 合并流程中：

• rebase 过程存在命令注入风险
• 可构造恶意 commit / branch 名称
• 触发 Git 执行异常参数解析

最终导致：

代码执行权限被提升至服务端执行环境

四、漏洞利用链 (攻击流程)

公开PoC描述的典型攻击路径如下：

1. 攻击者创建恶意仓库 / PR
2. 利用 org-name 路径穿越写入 Git hook
3. 触发 PR merge 或 rebase 操作
4. Git hook 被自动执行
5. 服务器执行攻击者命令
6. 获得 RCE → 进一步横向移动

一句话总结：

\"从 Git 操作 → 自动执行系统命令 → 完全沦陷服务器\"

五、风险影响

一旦被利用，攻击者可能获得：

• 服务器 Shell 控制权
• 源代码泄露(全部仓库)
• CI/CD 流程劫持
• Docker / 内网横向渗透
• 持久化后门 (Git hook 常驻)

特别是：

自建 Git 服务器(内网部署)风险更高

六、修复与缓解建议

官方修复

请立即升级：

• 升级至 Gogs 0.14.3

临时缓解措施(无法升级时)

建议：

• 禁用 PR 自动 merge / rebase
• 限制 Git hook 写入权限
• 禁止非可信用户创建组织 / 仓库
• 审计 .git/hooks 目录权限
• 在反向代理层限制异常路径访问

七、参考信息

• PoC（GitHub Gist）： PoC 技术细节

八、总结

这次 Gogs 的漏洞本质并不复杂，但危险点在于：

\"Git 工作流本身被武器化\"

一旦攻击者进入 PR / hook 流程，就能将正常 DevOps 操作转化为远程代码执行入口。

Simple #Gogs #CVE-2026-52813 #CVE-2026-52806