CVE-2022-31038mediumCWE-79

CVE-2022-31038: fallo de gravedad media en gogs

XSS vulnerability in repository issue list in Gogs

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear gogs+ Monitorear gogs.io/gogs

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5.4epss 0.7%
En resumen

Gogs permite que atacantes inyecten scripts maliciosos en nombres de usuario, que se ejecutan en los navegadores de otros usuarios al ver listas de problemas. Esto puede provocar el robo de sesiones o credenciales.

Detalle técnico

El campo `DisplayName` en Gogs anterior a la versión 0.12.9 carece de sanitización, habilitando ataques XSS almacenados a través de la interfaz de lista de problemas. Un atacante autenticado puede inyectar HTML/JavaScript que se ejecuta en los navegadores de las víctimas con sus privilegios. La vulnerabilidad requiere interacción del usuario (visualizar la lista) y resulta en compromiso de cuenta o exfiltración de datos.

Resumen generado y traducido por IA a partir de la descripción oficial.
Gogs is an open source self-hosted Git service. In versions of gogs prior to 0.12.9 `DisplayName` does not filter characters input from users, which leads to an XSS vulnerability when directly displayed in the issue list. This issue has been resolved in commit 155cae1d which sanitizes `DisplayName` prior to display to the user. All users of gogs are advised to upgrade. Users unable to upgrade should check their users' display names for malicious characters.
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Productos afectados
gogs · gogs
CVEs relacionadas — gogs

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-55947HIGHGogs has a Path Traversal in file update APIEPSS 77.7%CVE-2022-32174CRITICALGogs - XSSEPSS 58.2%CVE-2026-52806CRITICALGogs: RCE via git rebase --exec argument injection in pull request mergeEPSS 7.9%CVE-2026-52815MEDIUMGogs: Unauthenticated Organization Teams Information Disclosure via APIEPSS 1.5%CVE-2025-64111CRITICALGogs's update .git/config file allows remote command executionEPSS 1.4%CVE-2024-56731CRITICALGogs deletion of internal files allows remote command executionEPSS 1.1%