CVE-2026-52811: Gogs: travessia de diretório por lacuna de verificação de symlink em UploadRepoFiles
A CVE-2026-52811 afeta o Gogs, serviço Git autohospedado, em versões anteriores à 0.14.3. A função de upload de arquivos de repositório verifica symlinks apenas no componente final do caminho, diferentemente de funções irmãs, o que permite gravações fora do diretório pretendido. O CNA classifica a severidade como crítica (CVSS 4.0, pontuação 9), a correção está na 0.14.3 e o catálogo KEV da CISA não lista esta vulnerabilidade.
Visão geral
A CVE-2026-52811 é uma fraqueza de travessia de diretório (CWE-22) no tratamento de uploads de arquivos de repositório do Gogs. Segundo o aviso de segurança do GitHub, o caminho de upload verifica symlinks apenas no destino final, enquanto operações irmãs de arquivos inspecionam cada componente do caminho.
Impacto
- O registro descreve gravações arbitrárias de arquivos dentro do alcance da conta de serviço do Gogs.
- Dependendo da implantação, essas gravações podem ser encadeadas com execução remota de comandos ou acesso ao host.
- O CNA classifica o impacto em confidencialidade, integridade e disponibilidade como alto, segundo o CVSS 4.0 (pontuação 9).
Produtos e versões afetadas
- Versões do Gogs anteriores à 0.14.3, conforme descrito no registro.
- O registro não traz dados estruturados de versões afetadas ou corrigidas, por isso as listas de afetados e de correções estão vazias.
Status de exploração
O catálogo KEV da CISA não lista esta CVE. Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Correção e mitigação
- Atualize o Gogs para a 0.14.3 ou posterior, conforme indicado na versão v0.14.3.
- Revise o commit de correção e o pull request caso sua equipe precise validar a mudança.
- Até a atualização, restrinja o acesso de escrita aos repositórios a usuários confiáveis e revise quem pode enviar arquivos pela interface web.
- Execute a conta de serviço do Gogs com o menor conjunto de privilégios de sistema de arquivos possível, para que as gravações fiquem restritas ao necessário.
Orientação de detecção
- Audite os repositórios em busca de links simbólicos inesperados nas árvores de diretórios, especialmente os introduzidos por commits recentes.
- Monitore a conta de serviço do Gogs quanto a modificações de arquivos fora do diretório de dados, incluindo configurações de SSH e diretórios de hooks dos repositórios.
- Revise a atividade de upload pela web e os eventos de escrita em repositórios em busca de nomes de arquivo incomuns.
Limitações das informações disponíveis
- O registro não traz intervalos estruturados de versões afetadas ou corrigidas além da expressão anterior à 0.14.3.
- Não há pontuação CVSS v3 nem valor de EPSS disponível, portanto a probabilidade de exploração é desconhecida.
- O status da fonte consta como Deferred, e o registro não fornece prova de conceito nem telemetria de exploração.
Perguntas frequentes
Quais versões do Gogs são afetadas pela CVE-2026-52811?
Segundo a descrição do registro, versões do Gogs anteriores à 0.14.3 são afetadas. O registro não traz dados estruturados de versões afetadas.
A CVE-2026-52811 é explorada ativamente?
O catálogo KEV da CISA não lista esta CVE, e nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.