CVE-2026-52814

Gogs açıq mənbəli, öz serverində yerləşdirilən Git xidmətidir. 0.14.3 versiyasından əvvəl Gogs-un daxili Go SSH serveri autentifikasiya tələb etməyən, asimmetrik xidmətdən imtina (DoS) hücumuna həssasdır. Tətbiq daxil olan TCP bağlantılarını qəbul edir və onları əsas net.Conn üzərində heç bir oxuma/yazma müddəti tətbiq etmədən yeni goroutine daxilində golang.org/x/crypto/ssh.NewServerConn-a ötürür. Autentifikasiyadan keçməmiş hücumçu SSH portuna çoxsaylı TCP bağlantısı aça və sadəcə SSH protokol bannerini göndərməkdən imtina edə bilər. Bu, serveri qeyri-məhdud sayda goroutine yaratmağa məcbur edir ki, onlar da socket I/O gözləyərək qeyri-müəyyən müddət bloklanır. Bu, fayl deskriptorlarının (FD) tam tükənməsinə gətirib çıxarır, qanuni istifadəçilərin Git SSH xidmətinə girişini əngəlləyir və nəticədə bütün Gogs prosesini qeyri-sabit edir (məs., daxili log rotasiyası xətalarına səbəb olur). Bu zəiflik 0.14.3 versiyasında düzəldilmişdir.