【已复现】漏洞通告 | Gogs 远程代码执行漏洞(CVE-2026-52813)
安全实验室
安全实验室
中成信息
2026年6月26日 14:34
福建
在小说阅读器读本章
去阅读
1
漏洞描述
Gogs 远程代码执行漏洞（CVE-2026-52813）是由于Gogs在处理组织名称时未过滤路径穿越序列，攻击者可通过注册普通账号将恶意Git仓库写入服务器任意目录，进一步利用Git钩子脚本执行任意命令。该漏洞CVSS评分10.0，影响Gogs 0.14.3以下版本，建议立即升级或禁用用户注册功能。
2
影响范围
Gogs < 0.14.3
3
漏洞详情
| 漏洞详情 | |||
| 漏洞编号 | CVE-2026-52813 | ||
| 漏洞名称 | Gogs 远程代码执行漏洞 | ||
| 评级 | 高危 | CVSS 3.1分数 | 10.0 |
| 威胁类型 | 代码执行 | 利用情况 | 更可能被利用 |
| 公开状态 | POC、EXP已公开 | 在野利用 | 未发现 |
| 危害描述：该漏洞使本地低权限用户可绕过文件保护机制（包括 schg 不可变标志）向可访问文件写入任意数据，进而篡改 setuid 程序（如 /usr/bin/su）实现本地提权并最终获取 root 权限。 | |||
| 参考链接: https://github.com/gogs/gogs/security/advisories/GHSA-c39w-43gm-34h5 |
4
漏洞复现
中成信息安全实验室已复现Gogs 远程代码执行漏洞，验证如下。
5
修复建议
目前官方已发布安全更新，建议用户尽快升级至最新版本：
Gogs >= 0.14.3
官方补丁下载地址：
https://github.com/gogs/gogs/releases/tag/v0.14.3
临时缓解措施：
- 禁用用户注册功能（在配置文件 app.ini 中设置 disable\_registration = true 重启服务）、限制公网访问并收紧组织创建权限。
- 需排查异常组织名、仓库路径和 Git 钩子文件变更，检查服务器非预期写入路径及可疑日志。
关于我们
漳州中成信息科技有限公司是一家专注于网络安全实战防护的创新型服务提供商。我们深刻理解网络安全的核心在于攻防对抗的持续较量，并以此独特视角为基石，致力于为客户构建动态、主动、智能化的纵深防御体系。区别于传统的被动防御，我们坚信“未知攻，焉知防”。公司汇聚了顶尖的渗透测试专家（红队）、应急处置精英（蓝队）及经验丰富的安全服务工程师，形成了一支具备完整攻防对抗能力的专业团队。我们的渗透测试团队模拟真实攻击者的思维与手段，深入挖掘系统、应用及网络中的深层次漏洞与风险点；应急处置团队则能在安全事件发生时快速响应、精准定位、有效遏制损失并溯源根因；安服工程师团队则致力于将攻防对抗中获得的宝贵经验转化为常态化的安全策略、加固措施与运营流程。
点击名片
关注我们
扫描官网二维码
了解更多
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论