Tóm tắt nhanh
- CVE-2026-26276 là lỗ hổng mức TRUNG BÌNH (CVSS 5.4) ảnh hưởng gogs.io/gogs, gogs (gogs).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.22%, cao hơn 12.4% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 0.14.2 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| gogs.io/gogs Go | ≤ 0.13.3mọi phiên bản
| Chưa có bản vá |
| gogs | < 0.14.2
| 0.14.2
|
Mô tả
Summary
It was confirmed in a test environment that an attacker can store an HTML/JavaScript payload in a repository’s Milestone name, and when another user selects that Milestone on the New Issue page (/issues/new), a DOM-Based XSS is triggered.
Impact
- Theft of information accessible in the victim’s session.
- Extraction of CSRF tokens and submission of state-changing requests with the victim’s privileges.
- Repository operations performed with the victim’s privileges (Issue operations, settings changes, etc.).
(The impact scope depends on the victim’s permission level.)
Remediation
A fix is available at https://github.com/gogs/gogs/releases/tag/v0.14.2
Mô tả của NVD
Gogs is an open source self-hosted Git service. Prior to version 0.14.2, an attacker can store an HTML/JavaScript payload in a repository’s Milestone name, and when another user selects that Milestone on the New Issue page (/issues/new), a DOM-Based XSS is triggered. This issue has been patched in version 0.14.2.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí