CVE-2026-52813: Path traversal no Gogs em nomes de organização leva à execução remota de código
As versões do Gogs anteriores à 0.14.3 aceitam nomes de organização com sequências de path traversal, o que pode fazer dados de repositórios serem gravados em locais arbitrários do sistema de arquivos. O registro indica que isso pode ser usado para sobrescrever a configuração de hooks de outro repositório e alcançar execução remota de código, e que a correção está na versão 0.14.3. A pontuação base CVSS 3.1 de 10.0 é reportada como crítica pelo CNA.
Visão geral
O Gogs é um serviço Git de código aberto e self-hosted. O CVE-2026-52813 é classificado como path traversal relativo (CWE-23). Segundo o registro, nomes de organização que contêm sequências ../ são aceitos, de modo que os dados dos repositórios podem ser colocados fora do diretório previsto.
Impacto
- Segundo o registro, dados de repositórios podem ser armazenados e recuperados em locais arbitrários do sistema de arquivos.
- O registro afirma que uma estrutura aninhada de repositórios Git pode ser usada para sobrescrever a configuração de hooks de outro repositório, o que pode resultar em execução remota de código.
- O CNA e o GitHub Security Advisories atribuem severidade crítica, com pontuação base CVSS 3.1 de 10.0. O registro não descreve impactos além dessas afirmações.
Produtos e versões afetados
- Produto: Gogs, serviço Git de código aberto self-hosted.
- O registro afirma que versões anteriores à 0.14.3 são afetadas.
- A lista estruturada de produtos afetados no registro está vazia, portanto a faixa exata de versões afetadas não pode ser confirmada com os dados fornecidos.
Status de exploração
- O registro indica que o CVE não consta no catálogo Known Exploited Vulnerabilities da CISA, e não há pontuação EPSS disponível.
- Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Correção e mitigação
- Atualize o Gogs para a versão 0.14.3 ou posterior, conforme indicado no registro e na release referenciada.
- Enquanto a atualização não for concluída, restrinja quem pode criar organizações e revise quais usuários possuem essa permissão.
- Limite as permissões de sistema de arquivos da conta que executa o serviço Gogs, para que ela não consiga gravar fora dos diretórios de dados.
- Consulte o aviso de segurança do GitHub GHSA-c39w-43gm-34h5 para orientação do fornecedor.
Orientações de detecção
- Revise os nomes de organização existentes em busca de sequências ../ ou outros separadores de caminho inesperados.
- Verifique os diretórios de armazenamento de repositórios em busca de entradas fora da raiz esperada e revise alterações recentes na configuração de hooks dos repositórios.
- Monitore a criação de estruturas aninhadas de repositórios inesperadas.
Limitações das informações disponíveis
- Os campos estruturados de versões afetadas e corrigidas no registro estão vazios. A versão corrigida 0.14.3 foi obtida da descrição e da referência à release Gogs v0.14.3.
- O registro não informa se a vulnerabilidade foi explorada fora das fontes consultadas.
- Não é possível afirmar se a atualização remove artefatos maliciosos já criados no sistema de arquivos.
- Não se sabe se forks ou distribuições empacotadas do Gogs são afetados de forma diferente.
- O status de origem do registro é Deferred.
Perguntas frequentes
Quais versões do Gogs são afetadas pelo CVE-2026-52813?
O registro afirma que versões do Gogs anteriores à 0.14.3 são afetadas. A lista estruturada de versões afetadas está vazia, então a faixa exata não é confirmada pelos dados fornecidos.
O CVE-2026-52813 é conhecido por ser explorado ativamente?
O registro não mostra inclusão no catálogo KEV da CISA e não possui pontuação EPSS. Nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.