CVE-2022-31038mediumCWE-79

CVE-2022-31038: falha de média gravidade em gogs

XSS vulnerability in repository issue list in Gogs

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar gogs+ Monitorar gogs.io/gogs

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.4epss 0.7%
Em resumo

O Gogs permite que atacantes injetem scripts maliciosos nos nomes de usuários, que são executados nos navegadores de outros usuários ao visualizar listas de problemas. Isso pode levar ao roubo de sessões ou credenciais.

Detalhe técnico

O campo `DisplayName` no Gogs anterior à versão 0.12.9 não sanitiza a entrada do usuário, permitindo XSS armazenado via interface de lista de problemas. Um atacante autenticado pode injetar HTML/JavaScript que executa nos navegadores de vítimas com seus privilégios. A falha requer interação do usuário (visualizar a lista) e resulta em comprometimento de conta ou exfiltração de dados.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Gogs is an open source self-hosted Git service. In versions of gogs prior to 0.12.9 `DisplayName` does not filter characters input from users, which leads to an XSS vulnerability when directly displayed in the issue list. This issue has been resolved in commit 155cae1d which sanitizes `DisplayName` prior to display to the user. All users of gogs are advised to upgrade. Users unable to upgrade should check their users' display names for malicious characters.
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Produtos afetados
gogs · gogs
CVEs relacionadas — gogs

No mesmo produto, das mais perigosas para as menos.

CVE-2024-55947HIGHGogs has a Path Traversal in file update APIEPSS 77.7%CVE-2022-32174CRITICALGogs - XSSEPSS 58.2%CVE-2026-52806CRITICALGogs: RCE via git rebase --exec argument injection in pull request mergeEPSS 7.9%CVE-2026-52815MEDIUMGogs: Unauthenticated Organization Teams Information Disclosure via APIEPSS 1.5%CVE-2025-64111CRITICALGogs's update .git/config file allows remote command executionEPSS 1.4%CVE-2024-56731CRITICALGogs deletion of internal files allows remote command executionEPSS 1.1%