CVE-2026-82402 in Gogs
Resumen
por VulDB • 2026-10-15
Gogs es un servicio Git autoalojado de código abierto. Antes de la versión 0.15.0+dev, un atacante no autenticado puede proporcionar a la ruta /redirect una URL objetivo que contenga barras invertidas (/), y flujos similares de redirección posterior también se ven afectados. En internal/urlx/urlx.go, IsSameSite valida una forma normalizada del destino, mientras que cmd/gogs/internal/web/web.go getRedirect y otros llamadores utilizan el valor original en la respuesta Location. Esta discrepancia en la normalización de las barras invertidas permite a los navegadores interpretar el valor Location como una URL externa relativa al esquema (scheme-relative), lo que posibilita que los enlaces en un dominio confiable de Gogs redirijan a las víctimas hacia contenido controlado por el atacante para realizar phishing. Esta vulnerabilidad se corrige en la versión 0.15.0+dev.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.