PT-2022-14171 · Gogs · Gogs
CVE-2022-1884
·
Publicado
2022-06-02
·
Atualizado
2024-11-25
CVSS v3.1
10
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
gogs/gogs versões <=0.12.7
Descrição
Existe uma vulnerabilidade de execução remota de comandos devido à validação inadequada do parâmetro
tree path durante o upload de arquivos. Um invasor pode enviar um arquivo para o diretório .git definindo tree path=.git., o que lhe permite gravar ou reescrever o arquivo .git/config. Se o core.sshCommand estiver definido, isso pode levar à execução remota de comandos. A vulnerabilidade afeta todas as instalações do Windows com o upload de repositórios habilitado.Recomendações
Para versões do gogs/gogs <=0.12.7, atualize para a versão 0.12.8 ou posterior para resolver o problema.
Como solução temporária, considere desabilitar o upload de arquivos para repositórios para minimizar o risco de exploração.
Exploit
Correção
OS Command Injection
Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Gogs