CVE-2026-25921: Gogs: sobrescrita de objetos LFS entre repositórios por falta de verificação de hash de conteúdo
As versões do Gogs anteriores à 0.14.2 permitem que objetos LFS sejam sobrescritos entre repositórios diferentes, pois falta a verificação do hash de conteúdo. O registro associa a falha a um possível ataque à cadeia de suprimentos e a classifica como crítica, com pontuação CVSS base de 9.3. O problema foi corrigido na 0.14.2, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O Gogs é um serviço Git auto-hospedado. Esta CVE descreve uma falha em que objetos LFS podem ser sobrescritos entre repositórios diferentes, porque a verificação do hash de conteúdo está ausente. O registro classifica a fraqueza como CWE-345, Verificação Insuficiente da Autenticidade dos Dados.
Impacto
- Segundo o registro, um atacante que sobrescreva objetos LFS poderia realizar um ataque à cadeia de suprimentos.
- O registro atribui pontuação CVSS base de 9,3, classificada como crítica.
- O campo de impacto técnico do SSVC está registrado como parcial.
Produtos e versões afetadas
- O Gogs (produto Gogs Gogs) é afetado nas versões anteriores à 0.14.2, segundo o registro.
- O registro afirma que o problema foi corrigido na 0.14.2. A recomendação de usar a 0.14.2 ou uma versão posterior é uma inferência nossa.
Status de exploração
O catálogo KEV da CISA não lista esta CVE. Não há exploração confirmada no ambiente real nas fontes consultadas. O campo de exploração do SSVC está registrado como poc, que indica condição de prova de conceito e não evidência de ataques observados. A probabilidade EPSS é de 0,00291, com percentil de 0,20557.
Correção e mitigação
- Atualize o Gogs para a 0.14.2 ou para uma versão posterior que inclua a correção.
- Consulte o aviso do fornecedor para as orientações de mitigação: GHSA-cj4v-437j-jq4c
- Revise o commit de correção para entender a mudança: Commit de correção
Orientação de detecção
- Audite o armazenamento de objetos LFS em busca de alterações inesperadas no conteúdo de objetos existentes, principalmente objetos compartilhados entre repositórios.
- Quando houver hashes esperados disponíveis, compare os objetos LFS armazenados com eles. Esta é uma verificação apenas em alto nível.
Limitações das informações disponíveis
- O registro não descreve a mecânica técnica além do resumo; os detalhes da correção estão apenas no commit vinculado.
- Não são fornecidas faixas de versões afetadas além das constantes no registro.
- Não é possível saber se alguma instância já foi afetada ou comprometida.
Perguntas frequentes
Quais versões do Gogs são afetadas pela CVE-2026-25921?
Segundo o registro, as versões do Gogs anteriores à 0.14.2 são afetadas. O problema é apontado como corrigido na 0.14.2.
Esta CVE é conhecida por ser explorada ativamente?
O catálogo KEV da CISA não a lista, e não há exploração confirmada no ambiente real nas fontes consultadas. O campo SSVC registra status de prova de conceito, o que é diferente de ataques observados.
O que os administradores devem fazer?
Atualize o Gogs para a 0.14.2 ou para uma versão posterior que inclua a correção, e consulte o aviso do fornecedor e o commit de correção listados nas referências.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.