跳到主要内容

高危

Gogs PutContents API远程代码执行漏洞

2025-12-10 13:23:46 公开 ，2026-03-05 06:22:49 更新

  • CISA KEV
  • 关键漏洞
  • 勒索软件漏洞
  • CWE Top 25 (2023)
  • CWE Top 25 (2024)
  • 远程
  • 公开PoC
  • 开源组件漏洞
CWEs：
CWE-22 （Path Traversal）
CAPEC：
CAPEC-549 （Local Execution of Code）
SSVC：
可利用状态：已被积极利用攻击自动化：否技术影响评估：全部 2026-01-13 12:55:48

风险信息

CVSS v3.1 向量
AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS v3.1 风险值
8.8
CVSS v4.0 向量
AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:A/AU:Y/R:U/V:C
CVSS v4.0 风险值
8.7

详细信息

漏洞类型
其他
漏洞描述
Gogs 0.13.3及以前版本中PutContents API存在漏洞，这是由于CVE-2024-55947的修复程序未考虑符号链接导致的，实施符号链接绕过允许认证用户覆盖存储库外的文件，从而实现远程代码执行（RCE）。
修复建议
维护者已发布修复程序，参考链接： https://github.com/gogs/gogs/commit/553707f3fd5f68f47f531cfcff56aa3ec294c6f6
缓解措施
限制对 PutContents API 的访问，或在处理符号链接之前实施额外的检查以进行验证。

参考链接