Описание
Уязвимость прикладного программного интерфейса PutContents программного средства создания самоуправляемых Git-репозиториев Gogs связана с неверным ограничением имени пути к каталогу. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем внедрения специально сформированной символьной ссылки
Вендор
Сообщество свободного программного обеспечения
Наименование ПО
Gogs
Версия ПО
до 0.13.3 включительно (Gogs)
Тип ПО
Сетевое средство
Операционные системы и аппаратные платформы
-
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,8)
Высокий уровень опасности (оценка CVSS 4.0 составляет 8,7)
Возможные меры по устранению уязвимости
Компенсирующие меры:
- использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика;
- сегментирование сети для ограничения доступа к уязвимому программному обеспечению;
- использование систем обнаружения и предотвращения вторжений для отслеживания индикаторов компрометации для попыток эксплуатации уязвимости;
- ограничение доступа из внешних сетей (Интернет);
- использование виртуальных частных сетей для организации удаленного доступа (VPN).
Статус уязвимости
Потенциальная уязвимость
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Информация об устранении отсутствует
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 84%
0.02128
Низкий
8.8 High
CVSS3
9 Critical
CVSS2
Связанные уязвимости
CVSS3: 8.8
nvd
около 2 месяцев назад
Improper Symbolic link handling in the PutContents API in Gogs allows Local Execution of Code.
EPSS
Процентиль: 84%
0.02128
Низкий
8.8 High
CVSS3
9 Critical
CVSS2