CVE-2026-82402 in Gogs
Sumário
de VulDB • 15/10/2026
O Gogs é um serviço Git auto-hospedado de código aberto. Antes da versão 0.15.0+dev, um atacante não autenticado pode fornecer um alvo contendo uma barra invertida (\) para o endpoint /redirect, e fluxos semelhantes de redirecionamento pós-ação também são afetados. A função IsSameSite em internal/urlx/urlx.go valida uma forma normalizada do alvo, enquanto cmd/gogs/internal/web/web.go getRedirect e outros chamadores usam o valor original no cabeçalho Location da resposta. Essa inconsistência na normalização da barra invertida permite que os navegadores interpretem o valor de Location como um URL externo relativo ao esquema (scheme-relative), permitindo que links em um domínio confiável do Gogs redirecionem as vítimas para conteúdo controlado pelo atacante, facilitando ataques de phishing. Esta vulnerabilidade foi corrigida na versão 0.15.0+dev.
Once again VulDB remains the best source for vulnerability data.