CVE-2026-52809
Təsvir
Gogs açıq mənbəli, öz serverində yerləşdirilən Git xidmətidir. 0.14.3 versiyasından əvvəl parolun sıfırlanması tokenləri conf.Auth.ResetPasswordCodeLives deyil, conf.Auth.ActivateCodeLives (hesabın aktivləşdirilməsi müddəti) əsasında yaradılırdı. Tokenin ömrü yaradılma zamanı tokenin özünə yazılır və yoxlama zamanı tokendən yenidən çıxarılır, buna görə də RESET_PASSWORD_CODE_LIVES faktiki tətbiq üçün əhəmiyyətsiz olur. Administrator uyğunluq və ya təhlükəsizlik səbəbləri ilə daha qısa sıfırlama pəncərəsi (məsələn, 10 dəqiqə) konfiqurasiya etdikdə, sıfırlama tokenləri bunun əvəzinə tam aktivləşdirmə müddəti ərzində istismara açıq qalır, sıfırlama e-poçtu isə yalançı olaraq daha qısa bitmə müddətini bildirir. Bu zəiflik 0.14.3 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- gogs.io/gogs0.14.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| gogs.io/gogsGo | v < 0.14.3, Aralıq göstərilməyib | 0.14.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.