CVE-2024-56731criticalCWE-552

CVE-2024-56731: fallo crítico en gogs

Gogs deletion of internal files allows remote command execution

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear gogs+ Monitorear gogs.io/gogs

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

28Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 10epss 1.1%
En resumen

Gogs permite que usuarios sin privilegios eliminen archivos internos críticos de Git y ejecuten comandos arbitrarios en el servidor. Un atacante puede tomar control de la instancia Gogs y acceder o modificar cualquier código almacenado en ella.

Detalle técnico

La falla CWE-552 (Archivos o Directorios Accesibles a Terceros) permite que usuarios no autenticados o con bajos privilegios eliminen archivos en el directorio .git a través de un parche incompleto, habilitando ejecución de comandos arbitrarios con privilegios del RUN_USER. La vulnerabilidad afecta versiones de Gogs anteriores a 0.13.3 y puede explotarse para comprometer todos los repositorios en la instancia.

Resumen generado y traducido por IA a partir de la descripción oficial.
Gogs is an open source self-hosted Git service. Prior to version 0.13.3, it's still possible to delete files under the .git directory and achieve remote command execution due to an insufficient patch for CVE-2024-39931. Unprivileged user accounts can execute arbitrary commands on the Gogs instance with the privileges of the account specified by RUN_USER in the configuration. Allowing attackers to access and alter any users' code hosted on the same instance. This issue has been patched in version 0.13.3.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Productos afectados
gogs · gogs
CVEs relacionadas — gogs

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-55947HIGHGogs has a Path Traversal in file update APIEPSS 77.7%CVE-2022-32174CRITICALGogs - XSSEPSS 58.2%CVE-2026-52806CRITICALGogs: RCE via git rebase --exec argument injection in pull request mergeEPSS 7.9%CVE-2026-52815MEDIUMGogs: Unauthenticated Organization Teams Information Disclosure via APIEPSS 1.5%CVE-2025-64111CRITICALGogs's update .git/config file allows remote command executionEPSS 1.4%CVE-2026-52813CRITICALGogs: Path Traversal in organization name results in RCE through Git hooksEPSS 1.1%