CVE-2026-25119

Nome do Software Vulnerável e Versões Afetadas Gogs versões anteriores a 0.14.3

Descrição Quando a opção ENABLE REVERSE PROXY AUTHENTICATION está ativada, o Gogs aceita o cabeçalho de autenticação configurado (padrão: X-WEBAUTH-USER) diretamente de solicitações de clientes sem validar se a solicitação originou-se de um proxy reverso confiável. Um invasor remoto que consiga acessar o serviço Gogs pode forjar esse cabeçalho para personificar qualquer usuário ou acionar a criação automática de contas, resultando em um bypass completo de autenticação. Isso ocorre na função authenticatedUser(), que lê o cabeçalho da solicitação HTTP recebida sem verificar se o cabeçalho foi definido por um proxy confiável ou se a solicitação realmente passou por um.

Recomendações Atualize para a versão 0.14.3. Como medida paliativa temporária, defina ENABLE REVERSE PROXY AUTHENTICATION como false na configuração.