CVE-2025-64111

Injection de commandes dans Gogs via le répertoire .git

Une faille de sécurité critique a été identifiée dans le service Git auto-hébergé open-source Gogs. Cette vulnérabilité, référencée CVE-2025-64111, affecte les versions 0.13.3 et antérieures.

Elle résulte d’une correction insuffisante d’une faille précédente (CVE-2024-56731), permettant à un attaquant de modifier des fichiers dans le répertoire .git. En exploitant cette manipulation, un acteur malveillant peut parvenir à exécuter des commandes à distance sur le serveur hébergeant Gogs.

Points clés :

• Produit affecté : Gogs (service Git auto-hébergé)
• Type de vulnérabilité : Injection de commandes système (OS command injection)
• Cause : Correction incomplète d’une vulnérabilité antérieure (CVE-2024-56731) permettant la manipulation de fichiers dans le répertoire .git.
• Impact : Exécution de commandes à distance sur le serveur.

Vulnérabilités :

• CVE-2025-64111 : Injection de commandes système dans Gogs.
• CVE-2024-56731 : Vulnérabilité antérieure ayant conduit à la présente faille.

Recommandations :

Il est impératif de mettre à jour Gogs vers les versions 0.13.4 ou 0.14.0+dev pour corriger cette faille de sécurité.

Source