CVE-2026-123012

اسم البرنامج المصاب والإصدارات المتأثرة برنامج Gogs الإصدارات السابقة لـ 0.14.3

Description تحتوي طبقة تفويض Git Smart HTTP في الملف internal/route/repo/http.go على خلل حيث يعتمد النظام على معامل استعلام service يوفره العميل لتحديد سياسة التفويض بدلاً من مسار RPC الفعلي الذي يتم تنفيذه. وتحديداً، يمكن التعامل مع الطلب المرسل إلى نقطة النهاية /repo.git/git-receive-pack (المستخدمة لعمليات الدفع/الكتابة) بشكل خاطئ على أنه عملية قراءة إذا تم تعيين سلسلة الاستعلام إلى service=git-upload-pack. يسمح هذا للمستخدم الذي يمتلك صلاحيات القراءة فقط بدفع تغييرات إلى المستودع. هذا الأمر مؤثر بشكل خاص في الحالات التي يتم فيها ضبط REQUIRE SIGNIN VIEW على true لأن ذلك قد يسمح لأي مستخدم مسجل دخوله بالكتابة في أي مستودع. ينتج هذا الخلل عن عدم اتساق في كيفية التحقق من الأفعال فيما يتعلق بحساسية حالة الأحرف.

Recommendations تحديث Gogs إلى إصدار أحدث من 0.14.3. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية /repo.git/git-receive-pack للمستخدمين الذين يجب أن يكون لديهم صلاحيات القراءة فقط.