CVE-2026-25242: Gogs: upload de arquivos sem autenticação em endpoints de anexos
As versões do Gogs até 0.13.4 e anteriores expõem, por padrão, endpoints de upload de arquivos sem autenticação, classificados como falta de autorização (CWE-862). Com a configuração RequireSigninView desabilitada, que é o padrão, qualquer usuário remoto pode armazenar arquivos arbitrários no servidor. A correção está na versão 0.14.1, e as fontes consultadas não mostram exploração confirmada.
Visão geral
O Gogs é um serviço Git auto-hospedado. Segundo o registro, as versões 0.13.4 e anteriores expõem, por padrão, endpoints de upload de arquivos sem autenticação. A fraqueza é classificada como falta de autorização (CWE-862).
Impacto
- Com a configuração global RequireSigninView desabilitada, que é o padrão, qualquer usuário remoto pode enviar arquivos arbitrários pelos endpoints de anexos de releases e issues.
- A instância pode ser usada como host público de arquivos, com riscos de esgotamento de disco, hospedagem de conteúdo ou distribuição de malware.
- De acordo com o aviso, tokens CSRF não mitigam o problema por causa da emissão de cookies de mesma origem.
- A NVD atribui nota 9,8 (crítica). O GitHub atribui 6,9 pelo padrão CVSS mais recente.
Produtos e versões afetadas
- Produto: Gogs (Gogs Gogs).
- Afetadas: versões anteriores à 0.14.1, descritas no registro como 0.13.4 e anteriores.
- Corrigida na: 0.14.1.
Status de exploração
Esta CVE não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas. O registro inclui uma etiqueta Exploit na referência do aviso do GitHub, mas essa etiqueta, por si só, não comprova exploração em campo.
Correção e mitigação
- Atualize o Gogs para a versão 0.14.1 ou posterior, identificada no registro como versão corrigida.
- Enquanto a atualização não for feita, considere manter a opção RequireSigninView habilitada para restringir uploads a usuários autenticados (inferência; confirme o comportamento no aviso do fornecedor).
- Considere restringir o acesso aos endpoints de anexos em um proxy reverso ou na camada de rede como medida temporária (inferência).
- Aplique cotas de armazenamento e rotinas de limpeza nos diretórios de anexos.
Orientação para detecção
- Revise os logs de acesso web em busca de requisições POST aos endpoints de anexos de releases e issues, principalmente de sessões não autenticadas.
- Monitore o crescimento de uso do disco no volume de dados do Gogs.
- Inspecione o armazenamento de anexos em busca de arquivos sem relação com a atividade dos projetos ou de tipos incomuns.
Limitações das informações disponíveis
- As fontes não informam limites de tamanho, tipos de arquivo permitidos nem locais de armazenamento.
- O registro não confirma se habilitar RequireSigninView fecha completamente os dois endpoints.
- Esta análise se baseia no registro e nas referências, sem revisão de código nem teste em instâncias.
- O valor EPSS é uma estimativa estatística e não confirma exploração.
Perguntas frequentes
Esta vulnerabilidade do Gogs está sendo explorada ativamente?
Esta CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas. Ainda assim, convém aplicar a correção rapidamente, pois a falha é acessível quando a configuração padrão está em uso.
Qual versão corrige o problema?
Segundo o registro, o problema foi corrigido no Gogs 0.14.1. As versões 0.13.4 e anteriores são descritas como afetadas.
Proteção CSRF impede este ataque?
De acordo com o aviso resumido no registro, tokens CSRF não mitigam o problema, pois os cookies são emitidos no contexto de mesma origem.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.