- Yama var
- Son 7 gün
- CWE-178
CVE-2026-123012
Gogs Git Smart HTTP yetkilendirmesinde yalnızca okuma erişiminde push izni verilmesi
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- mitre
Yönetici özeti
Kod depolarınızın içeriğinin yetkisiz değişmesine yol açabilecek bir açıklık bulunmaktadır. Sistemde yetkisi kısıtlı kullanıcılar kodu değiştirebilir, bu da iş sürekliliği ve güvenilirlik açısından risk oluşturur. Etkilenen Gogs sunucularında kısa sürede önlem alınması önerilir.
ÖzetTürkçe
Gogs 0.14.3 sürümünde, Git Smart HTTP yetkilendirme katmanı (internal/route/repo/http.go) yalnızca okuma erişimi tanımlanmış olsa bile push işlemine izin verebilmektedir. Sorunun kaynağı, HTTP fiil (verb) denetiminin büyük/küçük harfe duyarlı olup olmadığının tutarsız şekilde yapılmasıdır. Etkilenen sürüm, Gogs 0.14.3'tür.
Saldırgan ne yapabilir?
Yalnızca okuma yetkisi olan bir kullanıcı, depolara kod gönderebilir ve mevcut depoların içeriğini değiştirebilir. Bu durum, kaynak kodun bütünlüğünü bozabilir.
Kaynaktaki açıklama (İngilizce)
In Gogs 0.14.3, the Git Smart HTTP authorization layer in internal/route/repo/http.go allows a push when only read access was intended, a different vulnerability than CVE-2026-52810. This occurs because of inconsistency about whether a verb is checked in a case-sensitive manner.
Üreticinin çözüm notu (İngilizce)
No patch available. Use case-insensitive comparison (strings.EqualFold) in gitHTTPIsPull in internal/route/repo/http.go
Üreticinin geçici önlemi (İngilizce)
Disable Git Smart HTTP access (set DISABLE_HTTP_GIT = true in app.ini) and use SSH-only for Git operations
Ne yapmalı?
- Satıcı tarafından yama henüz yayımlanmamıştır. Satıcının önerdiği çözüm, internal/route/repo/http.go dosyasındaki gitHTTPIsPull fonksiyonunda fiil karşılaştırmasının büyük/küçük harf duyarsız (strings.EqualFold) yapılmasıdır. Üretici
- Satıcının geçici çözümü olarak Git Smart HTTP erişimini devre dışı bırakın (app.ini dosyasında DISABLE_HTTP_GIT = true ayarını yapın) ve Git işlemlerini yalnızca SSH üzerinden yürütün. Üretici
- Yama yayımlanana kadar Gogs sunucusunu kullanan kullanıcıların yetkilerini gözden geçirin ve gereksiz yazma erişimlerini kaldırın. Genel öneri
Ek önlemler
- Depolardaki son push işlemlerini ve dal değişikliklerini düzenli olarak inceleyerek beklenmeyen değişiklikleri tespit edin. Genel öneri
- Önemli depolar için dal koruma kuralları ve gözden geçirme zorunluluğu gibi ek kontroller uygulayın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Gogs | 0.14.3 | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Açıklama güncellendi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.