CVE-2026-25242
Gogs allows unauthenticated file uploads
En resumen
Gogs permite que cualquier persona en internet cargue archivos sin iniciar sesión, lo que puede llenar el disco del servidor, alojar contenido no deseado o distribuir malware.
Detalle técnico
Las solicitudes POST no autenticadas a los endpoints /releases/attachments e /issues/attachments eluden las verificaciones de autorización cuando RequireSigninView está deshabilitado (configuración predeterminada). El manejo de cookies del mismo origen hace que los tokens CSRF sean ineficaces como mitigación. El impacto incluye agotamiento de disco, alojamiento no autorizado de contenido y distribución de malware.
Resumen generado y traducido por IA a partir de la descripción oficial.
Gogs is an open source self-hosted Git service. Versions 0.13.4 and below expose unauthenticated file upload endpoints by default. When the global RequireSigninView setting is disabled (default), any remote user can upload arbitrary files to the server via /releases/attachments and /issues/attachments. This enables the instance to be abused as a public file host, potentially leading to disk exhaustion, content hosting, or delivery of malware. CSRF tokens do not mitigate this attack due to same-origin cookie issuance. This issue has been fixed in version 0.14.1.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Productos afectados
gogs · gogs¿Quieres saber si tu infraestructura está expuesta a esto?
Hablar con TrueHacking →