PT-2026-20321
CVE-2026-25229
·
تاريخ النشر
2026-02-17
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Gogs 0.13.4 وما دونها
الوصف
يحتوي Gogs، وهو خدمة Git ذاتية الاستضافة، على ثغرة في التحكم في الوصول. يمكن للمستخدمين المصادق عليهم الذين يتمتعون بحق الكتابة في مستودع ما تعديل العلامات الخاصة بمستودعات أخرى. يحدث هذا بسبب خلل في وظيفة
UpdateLabel داخل واجهة الويب (internal/route/repo/issue.go) عند التحقق مما إذا كانت العلامة التي يتم تعديلها تنتمي إلى المستودع الصحيح. تكمن المشكلة في نقطة نهاية تحديث العلامات في واجهة الويب، POST /:username/:reponame/labels/edit، حيث تستخدم وظيفة المعالج UpdateLabel استعلامًا إلى قاعدة البيانات يتجاهل التحقق من ملكية المستودع. وعلى وجه التحديد، يتم استدعاء الدالة database.GetLabelByID(f.ID) بقيمة repoID=0، مما يتجاهل قيود المستودع. تسمح هذه الثغرة الأمنية باحتمال تعطيل تصنيف المشكلات، وإخفاء المشكلات الأمنية، وتعطيل سير العمل. يوجد الكود المعرض للثغرة في internal/route/repo/issue.go:1040-1054. نقطة نهاية واجهة برمجة التطبيقات (API) المستخدمة للاستغلال هي /api/v1/labels/edit. المعلمة المعرضة للثغرة هي id.التوصيات
يجب تحديث الإصدارات الأقدم من 0.14.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾