文章总结： Gogs自助Git服务存在高危远程命令注入漏洞CVE-2025-8110，因PutContentsAPI对符号链接过滤不当，攻击者可创建指向.git目录的符号链接重写文件并执行命令。影响Gogs0.13.3及以下版本。建议立即升级至最新版本，或在配置文件中关闭用户注册，并对API接口实施访问控制和输入验证以缓解风险。
综合评分： 88
文章分类： 漏洞预警,漏洞分析,解决方案,WEB安全,应急响应
【高危漏洞预警】Gogs远程命令注入漏洞CVE-2025-8110
cexlife
飓风网络安全
2025年12月11日 22:25
北京
漏洞描述:
Gоɡѕ是一个用Gо语言编写的自助托管的Git服务它提供了一个PutCоntеntѕ API接口用于处理文件的上传和存储,该漏洞源于之前的修复对符号链接的过滤不当导致攻击者可通过创建指向.ɡit目录的符号链接进而重写文件最终实现远程命令执行
攻击场景:
攻击者通过向Gogs的PutContents API接口发送特制请求,利用符号链接（symlink）处理不当的缺陷构造恶意路径实现对服务器文件系统的任意路径写入进而触发远程代码执行
影响产品:
Gogs <= 0.13.3
检测方法:
检查PutContents API的实现,确认是否对上传的文件路径进行了严格的验证和过滤
修复建议:
补丁名称:
Gоɡѕ远程命令注入漏洞—在Gоɡѕ配置文件арр.ini中关闭用户注册功能修改后重启Gоɡѕ服务
文件链接:
https://github.com/gogs/gogs
其它修复方法:
在Gоɡѕ配置文件арр.ini中关闭用户注册功能修改后重启Gоɡѕ服务:
[аuth]
DISABLE_REGISTRATＩON=truе
缓解方案:
限制对敏感文件和目录的访问,监控异常的文件操作行为
建议措施:
紧急升级：立即从Gogs官网（https://gogs.io/）下载并部署最新安全版本,或应用官方发布的补丁
访问控制：对/api/v1/repos/{owner}/{repo}/contents接口实施IP白名单或身份认证策略,禁止未授权外部调用
输入验证：在应用层对所有上传路径进行严格校验，禁止包含..、/、\等特殊字符的路径，禁用符号链接解析。
日志监控：启用API调用日志记录，监控异常的PutContents请求，特别是包含路径遍历特征的请求（如../../../../）
最小权限原则：运行Gogs服务的用户账户应仅具备必要文件系统权限，避免使用root权限运行
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：飓风网络安全 cexlife《【高危漏洞预警】Gogs远程命令注入漏洞CVE-2025-8110》