PT-2026-20320
CVE-2026-25120
·
تاريخ النشر
2026-02-17
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 4.0
5.1
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Gogs 0.13.4 والإصدارات الأقدم
الوصف
يحتوي Gogs، وهو خدمة Git ذاتية الاستضافة، على ثغرة أمنية حيث لا تتحقق واجهة برمجة التطبيقات (API)
DeleteComment بشكل صحيح مما إذا كان التعليق ينتمي إلى المستودع المحدد في عنوان URL. وهذا يسمح لمسؤول المستودع بحذف تعليقات من أي مستودع آخر عن طريق توفير معرّفات تعليقات عشوائية، مما يؤدي فعليًّا إلى التحايل على ضوابط التفويض. تسترد وظيفة DeleteComment تعليقًا باستخدام المعرّف دون التحقق من ملكية المستودع، كما أن وظيفة DeleteCommentByID في Database لا تقوم بالتحقق من المستودع. نقطة نهاية واجهة برمجة التطبيقات (API) المعرضة للثغرة هي /owner/repo/issues/comments/:id/delete. المعلمة المعرضة للثغرة هي :id، والتي تمثل معرّف التعليق.التوصيات
قم بالتحديث إلى الإصدار 0.14.0 أو أحدث لإصلاح هذه الثغرة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾