В Gogs, популярном открытом сервисе Git, обнаружена критическая уязвимость, позволяющая любому авторизованному пользователю выполнять произвольный код. По оценкам Rapid7, ее уровень критичности составляет 9,4 по системе CVSS. На данный момент уязвимость не имеет CVE-идентификатора.
Как работает уязвимость
Согласно исследованиям, уязвимость предоставляет возможность удаленного выполнения кода (RCE) через создание pull-запроса с вредоносным именем ветки. Эта операция инжектирует ключ --exec в команду git rebase во время слияния, что позволяет выполнять произвольные команды на сервере. Следует отметить, что для эксплуатации уязвимости не требуются права администратора.
Любой пользователь, который создаст аккаунт и репозиторий на стандартной конфигурации Gogs, сможет использовать эту уязвимость. При этом достаточно активировать опцию rebase merging в настройках, и злоумышленник сможет без взаимодействия с другими пользователями произвести атаку.
Потенциальные последствия
Если уязвимость будет успешно использована, злоумышленник может получить доступ ко всем репозиториям на сервере, вывезти учетные данные, переместиться в другие системы с сетевым доступом и вносить изменения в любой код в размещенных репозиториях. Также возможно возникновение нарушения защиты данных между арендаторами, что позволит атакующему просматривать приватные репозитории других пользователей.
На текущий момент Gogs остается без патча, несмотря на то что проблема была сообщена поддержке еще 17 марта 2026 года. Это создаёт серьезные риски для пользователей, с учетом того, что по оценкам Rapid7, существует около 1141 инстанса Gogs, находящихся в открытом доступе в интернете.
Рекомендации для пользователей Gogs
Для минимизации рисков специалисты рекомендуют: отключить регистрацию пользователей, ограничить создание репозиториев, а также активно проверять настройки слияния rebase. Это позволит предотвратить создание аккаунтов неавторизованными пользователями и затруднит возможный доступ злоумышленникам.
Следующий шаг – ожидание патча от разработчиков, который, как надеются пользователи, будет выпущен в ближайшее время.