Gogs הוא שרת git שמארחים אצלכם, קל ונפוץ אצל צוותים קטנים ובשרתים ביתיים. הרשומה מתארת חולשה ב-API שכותב תוכן לקבצים, שמאפשרת בסופו של דבר הרצת קוד. הציון הוא 8.7, והחולשה נמצאת בקטלוג החולשות המנוצלות של CISA.

מה החולשה?

קישור סימבולי, symbolic link, הוא קובץ שהתוכן שלו הוא הפניה לנתיב אחר. מי שפותח אותו מגיע בפועל למקום שאליו הוא מצביע, ולא לקובץ עצמו. זה מנגנון שימושי, והוא גם דורש מכל תוכנה שכותבת קבצים לשאול את עצמה שאלה נוספת: אני כותבת לנתיב שביקשו ממני, או לנתיב שהנתיב הזה מפנה אליו.

לפי הרשומה, ה-API של Gogs שכותב תוכן לקבצים, PutContents, לא טיפל בשאלה הזאת כראוי. ה-CWE שהוצמד לרשומה הוא CWE-22, מעבר בין תיקיות, כלומר פעולה שאמורה להישאר בתוך תיקייה אחת מגיעה בסופו של דבר אל נתיב אחר. התוצאה שהרשומה מציינת היא הרצת קוד.

יש כאן פרט שמשנה את התמונה המעשית: הדירוג מציין שנדרשות הרשאות נמוכות, לא היעדר הרשאות. כלומר לתוקף דרוש חשבון על השרת. לא חשבון מנהל, חשבון רגיל.

מי מושפע?

הרשומה מציינת את Gogs בגרסה 0.13.3 ומטה.

מי מריץ Gogs בכלל: צוותים שמעדיפים להחזיק את הקוד שלהם אצלם ולא ב-GitHub או ב-GitLab, מעבדות, ושרתים של אדם אחד. זה בדיוק סוג השירות שמותקן פעם אחת וממשיך לרוץ, ולכן שווה לבדוק מתי הוא עודכן לאחרונה.

והשאלה שקובעת את רמת החשיפה היא מי יכול לפתוח חשבון. מופע פנימי שיש בו חשבונות רק לעובדים הוא סיפור אחד. מופע חשוף לאינטרנט עם הרשמה פתוחה הוא סיפור אחר לגמרי, כי אז ההרשאה שהחולשה דורשת זמינה לכל מי שרוצה אותה.

האם מנוצלת בפועל?

כן. ב-12 בינואר 2026 הוכנסה החולשה לקטלוג ה-KEV, שבו סוכנות הסייבר האמריקאית CISA מרכזת חולשות שידוע כי נעשה בהן שימוש בפועל, ונקבע לגופים הפדרליים בארצות הברית מועד תיקון ב-2 בפברואר 2026. ניתוח טכני של החולשה פרסמו חוקרי Wiz.

מה עושים?

בדקו את הגרסה שרצה אצלכם, היא מופיעה בממשק הניהול של Gogs. 0.13.3 ומטה הן הגרסאות שברשומה.

עדכנו לגרסה שכוללת את התיקון. ה-pull request שתיקן את זה וה-commit עצמו מקושרים מהרשומה, והם מה שמאפשר לוודא שהגרסה שאתם מתקינים אכן מכילה אותו.

סגרו הרשמה פתוחה אם אינכם צריכים אותה. החולשה דורשת חשבון, ולכן הרשמה חופשית היא מה שהופך אותה מבעיה פנימית לבעיה של כל האינטרנט. עברו גם על רשימת המשתמשים הקיימת וודאו שאתם מזהים את מי שנמצא בה.

ואם המופע שלכם היה חשוף עם הרשמה פתוחה, בדקו את השרת עצמו ולא רק את המאגרים. מה שהרשומה מתארת הוא הרצת קוד על המכונה.