CVE-2025-8110 – Gogs ≤ 0.13.3 RCE PoC

Preuve de concept pour CVE-2025-8110, une écriture arbitraire de fichier authentifiée dans Gogs ≤ 0.13.3 causée par une gestion incorrecte des liens symboliques dans l'API PutContents.

Un utilisateur authentifié peut valider un lien symbolique pointant vers .git/config, puis utiliser l'API pour l'écraser et injecter une sshCommand malveillante, ce qui conduit à une exécution de code à distance.

Avertissement

Pour un usage éducatif et des tests autorisés uniquement. Ne l'utilisez pas contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas explicitement l'autorisation de tester.

Utilisation

chmod +x poc.sh

./poc.sh \
  -i <target-ip-or-domain> \
  -P <port> \
  -u <username> \
  -p <password> \
  -t <api-token> \
  -c "<command-to-execute>" \
  [-r <repository-name>]   # optional, default: CVE-2025-8110

Exemple

Références

• Blog de Wiz Research – divulgation originale
• NVD – CVE-2025-8110
• Commit du correctif Gogs