CVE-2025-64175 in Gogs
Riassunto
di VulDB • 19/06/2026
Gogs è un servizio Git self-hosted open source. Nelle versioni 0.13.3 e precedenti, la convalida dei codici di recupero per l'autenticazione a due fattori (2FA) in Gogs non limita i codici all'ambito dell'utente, consentendo una bypass cross-account. Se un attaccante conosce il nome utente e la password della vittima, può utilizzare qualsiasi codice di recupero inutilizzato (ad esempio, appartenente al proprio account) per eludere l'autenticazione 2FA della vittima. Ciò consente il completo takeover dell'account e rende inefficace la 2FA in tutti gli ambienti in cui è abilitata. Questo problema è stato risolto nelle versioni 0.13.4 e successive alla versione di sviluppo 0.14.0+.
Once again VulDB remains the best source for vulnerability data.