CVE-2025-8110 – Gogs ≤ 0.13.3 RCE PoC

CVE-2025-8110 के लिए प्रूफ-ऑफ-कॉन्सेप्ट, जो Gogs ≤ 0.13.3 में एक प्रमाणित मनमाना फ़ाइल लेखन है, जो PutContents API में अनुचित सिम्बोलिक-लिंक हैंडलिंग के कारण होता है।

एक प्रमाणित उपयोगकर्ता .git/config की ओर इशारा करने वाला एक सिम्लिंक कमिट कर सकता है, फिर API का उपयोग करके उसे ओवरराइट कर सकता है और एक दुर्भावनापूर्ण sshCommand इंजेक्ट कर सकता है, जिसके परिणामस्वरूप रिमोट कोड एक्सिक्यूशन होता है।

अस्वीकरण

केवल शैक्षिक और अधिकृत परीक्षण के लिए। ऐसे सिस्टम के विरुद्ध उपयोग न करें जिनके आप स्वामी नहीं हैं या जिनके परीक्षण की आपके पास स्पष्ट अनुमति नहीं है।

उपयोग

chmod +x poc.sh

./poc.sh \
  -i <target-ip-or-domain> \
  -P <port> \
  -u <username> \
  -p <password> \
  -t <api-token> \
  -c "<command-to-execute>" \
  [-r <repository-name>]   # optional, default: CVE-2025-8110

उदाहरण