CVE-2026-82402 in Gogs
Zusammenfassung
von VulDB • 15.10.2026
Gogs ist ein quelloffener, selbst gehosteter Git-Dienst. Vor Version 0.15.0+dev kann ein nicht authentifizierter Angreifer ein Ziel mit einem umgekehrten Schrägstrich (/) an den /redirect-Endpunkt übergeben; ähnliche Post-Aktion-Umleitungsflüsse sind ebenfalls betroffen. In internal/urlx/urlx.go validiert IsSameSite eine normalisierte Form des Ziels, während cmd/gogs/internal/web/web.go getRedirect und andere Aufrufer den ursprünglichen Wert im Location-Antwortheader verwenden. Diese Diskrepanz bei der Backslash-Normalisierung führt dazu, dass Browser den Location-Wert als ein schema-relatives externes URL interpretieren, was es ermöglicht, Links auf einer vertrauenswürdigen Gogs-Domäne so umzuleiten, dass Opfer zu von Angreifern kontrollierten Inhalten für Phishing-Zwecke weitergeleitet werden. Diese Schwachstelle wurde in Version 0.15.0+dev behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.