【误差通告】Gogs 符号链接绕过误差导致远程代码执行(CVE-2025-8110)
宣布时间 2025-12-11一、误差概述
误差名称 | Gogs 符号链接绕过误差导致远程代码执行 | ||
CVE ID | CVE-2025-8110 | ||
误差类型 | RCE | 发明时间 | 2025-12-11 |
误差评分 | 8.7 | 误差品级 | 高危 |
攻击向量 | 网络 | 所需权限 | 低 |
使用难度 | 低 | 用户交互 | 不需要 |
PoC/EXP | 已果真 | 在野使用 | 已发明 |
Gogs是一个轻量级的自托管Git服务 ，接纳Go语言开发 ，提供类似GitHub的功效 ，支持Git客栈管理、权限控制、代码浏览等 。它以易于安排和低资源消耗著称 ，适用于小我私家和团队搭建私有Git服务 。Gogs支持Web界面和API操作 ，具有优异的可扩展性 ，适合在外地服务器或云情形中使用 。由于其开源且高效 ，Gogs在开发者中广受欢迎 ，成为Git解决计划的热门选择 。
2025年12月11日 ，尊龙凯官网入口集团VSRC监测到Gogs符号链接绕过误差导致远程代码执行误差 ，该误差使用了Gogs对符号链接处置惩罚的不当 ，攻击者能够在Git客栈中建设指向外部敏感文件的符号链接 ，并通过Gogs API的PutContents接口将数据写入这些文件 。由于Gogs未能验证符号链接目的路径 ，攻击者可以笼罩主要系统文件（如.git/config） ，从而执行恶意下令 。
二、影响规模
Gogs <= 0.13.3
三、清静步伐
3.1 升级版本
禁用开放注册：若是不需要开放注册功效 ，连忙禁用此功效 ，阻止未经授权的用户建设客栈 。
3.2 暂时步伐
暂无 。
3.3 通用建议
? 按期更新系统补丁 ，镌汰系统误差 ，提升服务器的清静性 。
京公网安备11010802024551号