CVE-2026-52796

W Gogs przed wersją 0.15.0+dev nieuwierzytelniony atakujący może podać cel zawierający ukośnik odwrotny do endpointu /redirect; podobne przepływy przekierowań po akcjach są również podatne. Funkcja internal/urlx/urlx.go IsSameSite waliduje znormalizowaną postać celu, podczas gdy cmd/gogs/internal/web/web.go getRedirect i inni wywołujący używają oryginalnej wartości w nagłówku Location. Ta niezgodność normalizacji ukośnika odwrotnego pozwala przeglądarkom zinterpretować wartość Location jako zewnętrzny URL względny wobec schematu, umożliwiając przekierowanie ofiar z zaufanej domeny Gogs do treści kontrolowanych przez atakującego w celu phishingu. Luka jest naprawiona w wersji 0.15.0+dev.

Gogs to otwartoźródłowa usługa Git, która przed wersją 0.14.3 miała lukę w punkcie końcowym sanitarnego przetwarzania notatników Jupyter (ipynb) na POST /-/api/sanitize_ipynb, pozwalającą na wprowadzenie dowolnych danych URI bez odpowiednich ograniczeń, co może prowadzić do ataków typu Cross-Site Scripting (XSS).

Gogs, otwartoźródłowa usługa Git, przed wersją 0.14.3 ma podatność na ujawnienie informacji bez uwierzytelnienia. Punkt końcowy GET /api/v1/orgs/:orgname/teams zwraca wszystkie zespoły dla dowolnej organizacji bez wymogu uwierzytelnienia.

Gogs to otwartoźródłowa usługa Git hostowana na własnym serwerze. W wersjach przed 0.14.3, usługa Git smart HTTP autoryzowała POST …/git-receive-pack przy użyciu ciągu zapytania dostarczonego przez klienta, co pozwalało na wykonanie operacji push tam, gdzie powinno być dozwolone tylko odczyt.

Gogs to otwartoźródłowa usługa Git, która przed wersją 0.14.3 zawierała podatność na otwarte przekierowania. Parametry redirect_to kontrolowane przez atakującego mogły omijać walidację, co pozwalało na przekierowanie do dowolnych zewnętrznych stron.

Gogs to otwartoźródłowa usługa Git, która przed wersją 0.14.3 umożliwiała pobieranie załączników bez weryfikacji uprawnień użytkownika. Użytkownicy nieautoryzowani mogli pobierać załączniki z prywatnych repozytoriów.

Gogs to otwartoźródłowa usługa Git, która przed wersją 0.14.3 miała lukę umożliwiającą wykonanie złośliwego kodu JavaScript. Mimo że podglądy plików .ipynb były sanitizowane po stronie serwera, ich zawartość była ponownie renderowana po stronie klienta bez odpowiedniej sanitizacji, co prowadziło do możliwości wykonania ataku XSS.

Gogs to otwartoźródłowa usługa Git, która przed wersją 0.14.0 pozwalała autoryzowanym użytkownikom na manipulowanie wartością przekazywaną do polecenia git diff. Dzięki temu, użytkownik mógł ominąć filtrację wartości i zapisać wynik porównania w dowolnej lokalizacji.

Gogs to otwartoźródłowa usługa Git, która w wersji 0.14.3 i wcześniejszych pozwala uwierzytelnionym użytkownikom na obserwowanie prywatnych repozytoriów, do których nie mają dostępu. Problem wynika z błędnie zaimplementowanej kontroli dostępu w API Watch, co umożliwia atakującym dostęp do informacji z prywatnych repozytoriów.