Gogsにおいて、wikiページの更新におけるPath Traversalにより、任意のファイルの削除が可能

このPath Traversal脆弱性は、攻撃者がgogsインスタンス上の任意のファイルを削除することを可能にします。Wikiページの更新機能を利用し、不正なファイルパスを送信することで、システムファイルや設定ファイルなど、機密情報を含むファイルを削除されるリスクがあります。攻撃者は、削除されたファイルによって引き起こされるサービス停止や、データの損失、さらにはシステム全体の制御を奪うことを目指す可能性があります。この脆弱性の悪用は、gogsインスタンスの完全な侵害につながる可能性があります。

Self-hosted Gogs instances running versions prior to 0.13.4 are at risk. This includes organizations using Gogs for internal Git repositories and development teams relying on Gogs for code management. Shared hosting environments running Gogs are particularly vulnerable due to the potential for cross-tenant exploitation.

• go / binary: Examine Gogs binary for suspicious file deletion functions called during wiki page update processing. • linux / server: Monitor Gogs logs (typically in /var/log/gogs/) for unusual file deletion attempts, especially those involving paths outside of the intended wiki directory. Use journalctl -u gogs to filter relevant logs. • generic web: Monitor web server access logs for requests to wiki update endpoints with unusual path parameters. Use curl -v <gogsurl>/<wikiupdate_endpoint> to test for path traversal.

1. 2026-02-17Disclosure

   disclosure

1. 予約済み2026-01-21
2. 公開日2026-02-17
3. 更新日2026-02-19
4. EPSS 更新日2026-03-23

この脆弱性への最善の対応は、gogs.io/gogsをv0.13.4以降のバージョンにアップデートすることです。アップデートが一時的に利用できない場合は、Wikiページの更新機能に対するアクセスを制限する、または入力検証を強化するなどの対策を講じる必要があります。WAF（Web Application Firewall）を使用している場合は、不正なファイルパスを検出してブロックするルールを設定することも有効です。アップデート後、gogsインスタンスの整合性を確認し、不正なファイルが削除されていないことを確認してください。