CVE-2024-56731criticalCWE-552

CVE-2024-56731: falha crítica em gogs

Gogs deletion of internal files allows remote command execution

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar gogs+ Monitorar gogs.io/gogs

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

28Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 10epss 1.1%
Em resumo

Gogs permite que usuários sem privilégios deletem arquivos internos críticos do Git e executem comandos arbitrários no servidor. Um atacante pode controlar a instância Gogs e acessar ou modificar qualquer código armazenado nela.

Detalhe técnico

A falha CWE-552 (Arquivos ou Diretórios Acessíveis a Partes Externas) permite que usuários não autenticados ou com baixos privilégios deletem arquivos no diretório .git através de um patch incompleto, habilitando execução de comandos arbitrários com privilégios do RUN_USER. A vulnerabilidade afeta versões do Gogs anteriores à 0.13.3 e pode ser explorada para comprometer todos os repositórios da instância.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Gogs is an open source self-hosted Git service. Prior to version 0.13.3, it's still possible to delete files under the .git directory and achieve remote command execution due to an insufficient patch for CVE-2024-39931. Unprivileged user accounts can execute arbitrary commands on the Gogs instance with the privileges of the account specified by RUN_USER in the configuration. Allowing attackers to access and alter any users' code hosted on the same instance. This issue has been patched in version 0.13.3.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Produtos afetados
gogs · gogs
CVEs relacionadas — gogs

No mesmo produto, das mais perigosas para as menos.

CVE-2024-55947HIGHGogs has a Path Traversal in file update APIEPSS 77.7%CVE-2022-32174CRITICALGogs - XSSEPSS 58.2%CVE-2026-52806CRITICALGogs: RCE via git rebase --exec argument injection in pull request mergeEPSS 7.9%CVE-2026-52815MEDIUMGogs: Unauthenticated Organization Teams Information Disclosure via APIEPSS 1.5%CVE-2025-64111CRITICALGogs's update .git/config file allows remote command executionEPSS 1.4%CVE-2026-52813CRITICALGogs: Path Traversal in organization name results in RCE through Git hooksEPSS 1.1%