CVE-2026-52806: Gogs: injeção de comando no rebase de pull request leva a RCE
Versões do Gogs anteriores à 0.14.3 permitem que usuários autenticados provoquem injeção de comando por meio de um nome de branch elaborado durante a operação de rebase antes do merge em um pull request, o que, segundo o registro, pode levar à execução remota de código. O registro atribui pontuação CVSS 3.1 base crítica de 9.9 e informa que o problema está corrigido na 0.14.3. O CVE não consta no catálogo CISA KEV segundo o registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O Gogs é um serviço Git de código aberto e auto-hospedado. Este registro descreve uma falha de injeção de comando (CWE-77) na operação "Rebase before merging" de pull requests. Segundo o registro, um usuário autenticado pode fornecer um nome de branch elaborado que chega ao comando git rebase como uma opção injetada, o que pode levar à execução remota de código no servidor. O registro informa que o problema está corrigido na versão 0.14.3.
Impacto
- O registro descreve execução remota de código no servidor por um usuário autenticado.
- O vetor CVSS 3.1 é AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, com pontuação base de 9.9 (crítica), conforme fornecido pelo CNA GitHub Security Advisories.
- O escopo está marcado como alterado (S:C), o que sugere que o impacto pode ir além do componente vulnerável. O registro não detalha isso.
Produtos e versões afetadas
- Produto: Gogs.
- A descrição indica que versões anteriores à 0.14.3 são afetadas.
- Os campos estruturados de versões afetadas e correções estão vazios no registro, então a faixa exata deve ser confirmada no aviso de segurança do GitHub.
- A versão corrigida 0.14.3 é citada nas notas de lançamento.
Status de exploração
O registro mostra que este CVE não consta no catálogo CISA KEV. Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Correção e mitigação
- Atualize o Gogs para a versão 0.14.3 ou superior, conforme indicado no registro.
- Se a atualização não puder ser aplicada imediatamente, restrinja quem pode criar contas e abrir pull requests, e revise o acesso às instâncias auto-hospedadas.
- Analise o commit de correção e o pull request relacionado para entender a mudança.
Orientações de detecção
- Revise a atividade de pull requests e criação de branches em busca de nomes incomuns, especialmente nomes que possam ser interpretados como opções de comando.
- Monitore o host do Gogs em busca de processos filhos inesperados iniciados pela conta de serviço do Git.
- Verifique os logs da aplicação em torno das operações de merge em busca de erros ou atividade incomum.
Limitações das informações disponíveis
- O registro não preenche os campos estruturados de versões afetadas ou corrigidas.
- Não há pontuação EPSS nem dados SSVC no registro.
- O registro não descreve exploração em ambientes reais além das fontes consultadas, então esse status é desconhecido.
- Esta análise não inclui detalhes técnicos de exploração.
Perguntas frequentes
Quais versões do Gogs estão corrigidas no CVE-2026-52806?
O registro informa que o problema está corrigido no Gogs 0.14.3. Versões anteriores à 0.14.3 são descritas como afetadas, mas o campo estruturado de faixa afetada está vazio, então confirme os detalhes no aviso de segurança do GitHub.
O CVE-2026-52806 está sendo explorado ativamente?
O registro não lista este CVE no catálogo CISA KEV, e nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Qual nível de privilégio é necessário?
O vetor CVSS no registro indica privilégios baixos (PR:L) e nenhuma interação do usuário (UI:N), ou seja, é necessário um usuário autenticado.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.