【误差通告】Gogs 符号链接绕过误差导致远程代码执行(CVE-2025-8110)
宣布时间 2025-12-11一、误差概述
误差名称 | Gogs 符号链接绕过误差导致远程代码执行 | ||
CVE ID | CVE-2025-8110 | ||
误差类型 | RCE | 发明时间 | 2025-12-11 |
误差评分 | 8.7 | 误差品级 | 高危 |
攻击向量 | 网络 | 所需权限 | 低 |
使用难度 | 低 | 用户交互 | 不需要 |
PoC/EXP | 已果真 | 在野使用 | 已发明 |
Gogs是一个轻量级的自托管Git服务，接纳Go语言开发，提供类似GitHub的功效，支持Git客栈管理、权限控制、代码浏览等 。它以易于安排和低资源消耗著称，适用于小我私家和团队搭建私有Git服务 。Gogs支持Web界面和API操作，具有优异的可扩展性，适合在外地服务器或云情形中使用 。由于其开源且高效，Gogs在开发者中广受欢迎，成为Git解决计划的热门选择 。
2025年12月11日，尊龙凯官网入口集团VSRC监测到Gogs符号链接绕过误差导致远程代码执行误差，该误差使用了Gogs对符号链接处置惩罚的不当，攻击者能够在Git客栈中建设指向外部敏感文件的符号链接，并通过Gogs API的PutContents接口将数据写入这些文件 。由于Gogs未能验证符号链接目的路径，攻击者可以笼罩主要系统文件（如.git/config），从而执行恶意下令 。
二、影响规模
Gogs <= 0.13.3
三、清静步伐
3.1 升级版本
禁用开放注册：若是不需要开放注册功效，连忙禁用此功效，阻止未经授权的用户建设客栈 。
3.2 暂时步伐
暂无 。
3.3 通用建议
? 按期更新系统补丁，镌汰系统误差，提升服务器的清静性 。
京公网安备11010802024551号