Gogs kwetsbaar voor willekeurig bestand verwijderen via Path Traversal in wiki pagina update in gogs.io/gogs

Deze Path Traversal kwetsbaarheid stelt een aanvaller in staat om willekeurige bestanden op het systeem te verwijderen, mits ze toegang hebben tot de wiki-functionaliteit van Gogs. Een succesvolle exploitatie kan leiden tot dataverlies, verstoring van de dienst en mogelijk zelfs tot volledige controle over het systeem, afhankelijk van de rechten van de gebruiker die de wiki beheert. De impact is aanzienlijk, aangezien een aanvaller kritieke systeembestanden of configuratiebestanden kan verwijderen, waardoor de functionaliteit van de Gogs-server wordt aangetast. Het is belangrijk om te benadrukken dat de kwetsbaarheid zich specifiek voordoet bij het bijwerken van wikipagina’s, wat de aanvalsoppervlakte enigszins beperkt, maar nog steeds een significant risico vormt.

Self-hosted Gogs instances running versions prior to 0.13.4 are at risk. This includes organizations using Gogs for internal Git repositories and development teams relying on Gogs for code management. Shared hosting environments running Gogs are particularly vulnerable due to the potential for cross-tenant exploitation.

• go / binary: Examine Gogs binary for suspicious file deletion functions called during wiki page update processing. • linux / server: Monitor Gogs logs (typically in /var/log/gogs/) for unusual file deletion attempts, especially those involving paths outside of the intended wiki directory. Use journalctl -u gogs to filter relevant logs. • generic web: Monitor web server access logs for requests to wiki update endpoints with unusual path parameters. Use curl -v <gogsurl>/<wikiupdate_endpoint> to test for path traversal.

1. 2026-02-17Disclosure

   disclosure

1. Gereserveerd2026-01-21
2. Gepubliceerd2026-02-17
3. Gewijzigd2026-02-19
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2026-24135 is het upgraden van Gogs naar versie 0.13.4 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot de wiki-functionaliteit of het implementeren van strenge inputvalidatie op de wikipagina’s. Een Web Application Firewall (WAF) kan worden geconfigureerd om verdachte padtraversal-pogingen te blokkeren. Controleer de Gogs-logbestanden op ongebruikelijke activiteit die kan wijzen op een poging tot exploitatie. Na de upgrade, verifieer de fix door een poging te doen tot het bijwerken van een wikipagina met een kwaadwillig pad, en controleer of de update mislukt en geen bestanden worden verwijderd.