CVE-2025-64175 in Gogs
要約
〜によって VulDB • 2026年05月15日
Gogsは、オープンソースのセルフホスト型Gitサービスです。バージョン0.13.3およびそれ以前のバージョンでは、Gogsの2要素認証（2FA）リカバリーコードの検証がユーザーごとにコードをスコープ指定していないため、アカウント横断的な回避が可能になります。攻撃者が被害者のユーザー名とパスワードを知っている場合、未使用のリカバリーコード（例：攻撃者自身のアカウントから取得したコード）を使用して、被害者の2FAを回避できます。これにより、アカウントの完全乗っ取りが可能となり、2FAが有効化されているすべての環境で2FAが無効化されます。この問題は、バージョン0.13.4および0.14.0+devで修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.