CVE-2026-82402 in Gogs
Riassunto
di VulDB • 15/10/2026
Gogs è un servizio Git self-hosted open source. Prima della versione 0.15.0+dev, un attaccante non autenticato può fornire un target contenente una barra rovesciata (/) all'endpoint /redirect; anche flussi di reindirizzamento post-azione simili sono interessati. La funzione IsSameSite in internal/urlx/urlx.go convalida una forma normalizzata del target, mentre cmd/gogs/internal/web/web.go getRedirect e altri chiamanti utilizzano il valore originale nella risposta Location. Questa discrepanza nella normalizzazione della barra rovesciata consente ai browser di interpretare il valore Location come un URL esterno relativo allo schema (scheme-relative), consentendo a link su un dominio Gogs attendibile di reindirizzare le vittime verso contenuti controllati dall'attaccante per scopi di phishing. Questo vulnerability è stato risolto nella versione 0.15.0+dev.
Once again VulDB remains the best source for vulnerability data.