CVE-2026-24135highCWE-22

CVE-2026-24135: falha de alta gravidade em gogs

Gogs vulnerable to arbitrary file deletion via path traversal in wiki page update

Publicada em

Seguir esta CVE+ Monitorar gogs+ Monitorar gogs.io/gogs

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.2epss 1.0%
Em resumo

Gogs permite que usuários autenticados com acesso de escrita na wiki de um repositório deletem arquivos arbitrários no servidor manipulando os caminhos de arquivo. Isso pode danificar o sistema ou causar perda de dados críticos.

Detalhe técnico

Uma vulnerabilidade de path traversal na função updateWikiPage permite que atacantes autenticados com permissões de escrita na wiki do repositório deletem arquivos arbitrários explorando o parâmetro old_title. A vulnerabilidade requer acesso válido ao repositório, mas habilita deleção irrestrita de arquivos através de técnicas de travessia de diretório, afetando a integridade e disponibilidade do sistema.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Gogs is an open source self-hosted Git service. In version 0.13.3 and prior, a path traversal vulnerability exists in the updateWikiPage function of Gogs. The vulnerability allows an authenticated user with write access to a repository's wiki to delete arbitrary files on the server by manipulating the old_title parameter in the wiki editing form. This issue has been patched in versions 0.13.4 and 0.14.0+dev.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N
Produtos afetados
gogs · gogs
CVEs relacionadas — gogs

No mesmo produto, das mais perigosas para as menos.

CVE-2024-55947HIGHGogs has a Path Traversal in file update APIEPSS 77.7%CVE-2022-32174CRITICALGogs - XSSEPSS 58.2%CVE-2026-52806CRITICALGogs: RCE via git rebase --exec argument injection in pull request mergeEPSS 7.9%CVE-2026-52815MEDIUMGogs: Unauthenticated Organization Teams Information Disclosure via APIEPSS 1.5%CVE-2025-64111CRITICALGogs's update .git/config file allows remote command executionEPSS 1.4%CVE-2024-56731CRITICALGogs deletion of internal files allows remote command executionEPSS 1.1%