CVE-2026-123012

Nome do Software Vulnerável e Versões Afetadas Gogs versões anteriores a 0.14.3

Description A camada de autorização Git Smart HTTP no arquivo internal/route/repo/http.go contém uma falha na qual o sistema depende de um parâmetro de consulta service fornecido pelo cliente para determinar a política de autorização, em vez do caminho RPC real que está sendo executado. Especificamente, uma solicitação enviada ao endpoint /repo.git/git-receive-pack (usado para operações de push/escrita) pode ser incorretamente tratada como uma operação de leitura se a string de consulta for definida como service=git-upload-pack. Isso permite que um usuário com permissões apenas de leitura envie alterações para um repositório. Este problema é particularmente impactante em instâncias onde REQUIRE SIGNIN VIEW está definido como true, pois pode permitir que qualquer usuário autenticado escreva em qualquer repositório. A falha é causada por uma inconsistência na forma como os verbos são verificados em relação à sensibilidade a maiúsculas e minúsculas.

Recommendations Atualize o Gogs para uma versão posterior a 0.14.3. Como mitigação temporária, restrinja o acesso ao endpoint /repo.git/git-receive-pack para usuários que devem ter apenas acesso de leitura.