CVE-2026-52809
Açıklama
Gogs, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir Git servisidir. 0.14.3 sürümünden önce, şifre sıfırlama belirteçleri (tokens) conf.Auth.ResetPasswordCodeLives yerine conf.Auth.ActivateCodeLives (hesap etkinleştirme ömrü) kullanılarak oluşturulmaktadır. Belirteç ömrü, oluşturulma sırasında belirtecin kendisine gömülmekte ve doğrulama sırasında tekrar belirteçten çıkarılmaktadır; bu durum RESET_PASSWORD_CODE_LIVES ayarının gerçek uygulamada etkisiz kalmasına neden olmaktadır. Bir yönetici, uyumluluk veya güvenlik nedenleriyle daha kısa bir sıfırlama penceresi (örneğin 10 dakika) yapılandırdığında, sıfırlama e-postası yanlışlıkla daha kısa bir süre belirttiği halde, sıfırlama belirteçleri tüm etkinleştirme ömrü boyunca kullanılabilir kalmaya devam etmektedir. Bu güvenlik açığı 0.14.3 sürümünde giderilmiştir.
Nasıl düzeltilir
- gogs.io/gogs0.14.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gogs.io/gogsGo | v < 0.14.3, Aralık belirtilmemiş | 0.14.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.