CVE-2026-52816

Nome do Software Vulnerável e Versões Afetadas Gogs versões anteriores a 0.14.3

Description O endpoint de sanitização do Jupyter Notebook (ipynb) em 'POST /-/api/sanitize ipynb' permite URIs data: arbitrárias sem restrições adequadas, o que pode levar a Cross-Site Scripting (XSS). O endpoint utiliza bluemonday.UGCPolicy() com p.AllowURLSchemes("data"), permitindo todos os esquemas de URI de dados, incluindo data:text/html, o que possibilita a injeção de HTML ou JavaScript malicioso. Além disso, o endpoint não possui middleware de autenticação, permitindo que qualquer usuário registrado explore este problema.

Recommendations Atualize para a versão 0.14.3. Como medida paliativa temporária, restrinja o acesso ao endpoint 'POST /-/api/sanitize ipynb' para minimizar o risco de exploração.