CVE-2024-55947描述了gogs.io/gogs中的一个路径遍历漏洞，该漏洞存在于文件更新API中。攻击者可以利用此漏洞读取服务器上的任意文件，从而可能导致敏感信息泄露。此漏洞影响gogs.io/gogs的早期版本，建议用户尽快升级至0.13.1版本以修复此安全问题。
此路径遍历漏洞允许攻击者绕过正常的访问控制机制，直接访问服务器上的文件系统。攻击者可以通过构造恶意的文件更新请求，读取任意文件，包括配置文件、源代码、用户数据等。如果攻击者能够读取包含敏感信息的配置文件，例如数据库密码或API密钥，则可能进一步控制系统或访问其他敏感资源。此外，攻击者可能利用此漏洞读取其他用户的私有数据，造成隐私泄露。该漏洞的潜在影响范围取决于服务器上存储的数据类型和敏感程度。
目前尚未公开发现针对CVE-2024-55947的公开利用代码（PoC），但由于该漏洞的严重性和易利用性，存在被利用的风险。该漏洞已于2025年1月7日公开披露。建议密切关注安全社区的动态，及时获取最新的威胁情报。由于该漏洞属于路径遍历类型，攻击者可能利用与类似漏洞相关的技术进行攻击。
Organizations running self-hosted gogs.io/gogs instances, particularly those with publicly accessible file upload endpoints, are at risk. Environments with weak input validation or insufficient access controls are especially vulnerable.
• linux / server:
find /var/www/gogs -name '*gogs.io/gogs*' -type f -print0 | xargs -0 grep -i 'path..'• generic web:
curl -I 'http://your-gogs-server/update_file?path=../../../../etc/passwd' # Check for 200 OK response indicating successful accessdisclosure
漏洞利用状态
EPSS
79.35% (99% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是升级至gogs.io/gogs 0.13.1版本或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：限制文件更新API的访问权限，只允许授权用户访问；实施严格的文件访问控制策略，确保用户只能访问其授权的文件；监控文件更新API的访问日志，及时发现异常活动。此外，可以考虑使用Web应用防火墙（WAF）来检测和阻止恶意的文件更新请求。升级后，请验证文件更新API是否仍然正常工作，并确认漏洞已成功修复。
Actualice Gogs a la versión 0.13.1 o posterior. Esta versión corrige la vulnerabilidad de path traversal que permite la escritura de archivos arbitrarios en el servidor. La actualización previene el acceso SSH no autorizado al servidor.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-55947描述了gogs.io/gogs文件更新API中的路径遍历漏洞，攻击者可能利用此漏洞读取服务器上的任意文件。
如果您正在使用gogs.io/gogs的早期版本，则可能受到此漏洞的影响。建议您检查您的版本并尽快升级。
建议升级至gogs.io/gogs 0.13.1版本或更高版本以修复此漏洞。
目前尚未公开发现针对CVE-2024-55947的公开利用代码，但存在被利用的风险。
请访问gogs.io/gogs官方网站或GitHub仓库，查找关于CVE-2024-55947的安全公告。
上传你的 go.mod 文件，立即知道是否受影响。