CVE-2026-52795

Nome do Software Vulnerável e Versões Afetadas Gogs versões anteriores a 0.14.4

Descrição Um usuário autenticado pode monitorar um repositório privado sem ter as permissões de acesso necessárias. Isso ocorre porque a verificação de acesso no manipulador da API de Watch está invertida, especificamente na função repoCtx.ViewerCanRead(), que retorna incorretamente um erro 404 quando o usuário possui acesso de leitura, em vez de quando não possui. Ao monitorar um repositório privado, um invasor pode visualizar mensagens de commit, nomes de ramificações, títulos de problemas e detalhes de pull requests através do feed de atividades do seu painel. Além disso, se as notificações por e-mail estiverem ativadas, o invasor poderá receber e-mails contendo o conteúdo de problemas e comentários.

Recomendações Atualize para uma versão posterior a 0.14.3.