【漏洞预警】低权可利用！Gogs 满分漏洞可导致 Git Hooks 远程代码执行(CVE-2026-52813)

▌漏洞描述

Gogs 是一款开源自托管 Git 服务，常用于企业内部代码托管、研发协作和轻量级 DevOps 场景。

近期公开安全公告显示，Gogs 在 0.14.3 之前版本中，对组织名称中的路径穿越序列校验不足。攻击者在可创建组织和仓库的场景下，可能通过构造特殊组织名称，使仓库数据被写入非预期文件系统路径，并进一步影响 Git hooks 配置，最终造成远程代码执行。该漏洞编号为 CVE-2026-52813，漏洞类型为相对路径穿越。官方 CVSS 3.1 评分为 10.0。

受影响产品组件：Gogs / gogs.io/gogs

受影响版本：< 0.14.3

修复版本：0.14.3

▌利用条件

• 攻击者能够注册或已持有目标 Gogs 的普通账户；

• 普通用户被允许创建组织；

• 普通用户被允许创建仓库或在组织下创建仓库；

该漏洞不是单纯的匿名访问漏洞，风险主要出现在攻击者能够访问 Gogs 实例，并具备注册账号、创建组织和创建仓库能力的场景。在默认允许用户自注册、允许普通用户创建组织的部署中，攻击面会明显扩大。攻击者可利用组织名称中的路径穿越问题影响仓库存储路径，再结合 Git hooks 机制触发命令执行。本文不展开具体复现步骤和利用代码。

▌威胁状态分析

Gogs 常用于企业代码托管、研发协作和轻量级 DevOps 场景，部分实例可能部署在测试环境、分支机构网络、外包协作环境或历史遗留服务器中，容易游离在统一资产管理和补丁管理之外。受影响资产主要集中在对公网、办公网或合作方网络开放的 Gogs 实例，尤其是允许用户自注册、普通用户可创建组织和仓库的环境。

结合 FOFA 等测绘引擎，可以看到全球暴露的公网 Gogs 服务实例达 4W+:

该漏洞已公开技术细节和利用脚本，利用门槛主要取决于攻击者是否能够获得普通账户，以及实例是否允许创建组织和仓库。鉴于该漏洞影响资产影响较大，建议优先处置。

▌排查和修复建议

• 核查所有 Gogs 实例版本，尽快升级至安全版本。

• 在完成升级前，限制公网访问面，关闭非必要用户自注册。

• 收紧组织创建权限，避免普通账号随意创建组织。

• 排查异常组织名、异常仓库路径和异常 Git hooks 文件变更。

• 检查 Gogs 服务器上是否存在非预期写入路径、异常脚本、异常进程和可疑访问日志。

• 对承载代码、密钥、CI/CD 配置的仓库进行重点核查，确认是否存在异常提交、异常 Webhook 或部署凭据泄露风险。

• 将历史测试环境、临时环境和边缘办公网络中的 Gogs 服务纳入统一资产管理。

▌产品支持情况

FORadar 互联网资产攻击面管理平台及华顺信安全产线产品已支持 Gogs 相关产品组件暴露面风险资产规则识别，缩短从“知道有漏洞”到“找到资产并完成处置”的时间差。

▌参考

• https://github.com/advisories/GHSA-c39w-43gm-34h5

• https://github.com/gogs/gogs/pull/8334

• https://www.cve.org/CVERecord?id=CVE-2026-52813