CVE-2025-8110
Mis à jour :
Exécution de code via une vulnérabilité Gogs
Une faille de sécurité (CVE-2025-8110) a été identifiée dans Gogs, un service d’hébergement Git auto-hébergé. Cette vulnérabilité permet l’exécution de code à distance.
Points clés :
- La faille découle d’une mauvaise gestion des liens symboliques dans l’API PutContents.
- Elle constitue un contournement d’une vulnérabilité antérieure de type exécution de code à distance (CVE-2024-55947).
Vulnérabilité :
- CVE : CVE-2025-8110
Exploitation : Un attaquant peut créer un lien symbolique dans un dépôt Git. Ce lien pointe vers une ressource sensible en dehors du dépôt. En utilisant l’API PutContents pour écrire des données dans ce lien symbolique, l’attaquant peut écraser des fichiers externes au dépôt. L’exploitation de cette méthode permet de modifier le fichier “.git/config” et d’exécuter des commandes arbitraires.
Recommandations : Bien que l’article ne fournisse pas explicitement de recommandations, la nature de la vulnérabilité suggère fortement :
- La mise à jour de Gogs vers une version corrigée.
- Une vigilance accrue quant à la manipulation des liens symboliques dans les dépôts Git.