CVE-2025-8110 – Gogs ≤ 0.13.3 RCE PoC

CVE-2025-8110에 대한 개념 증명(PoC)으로, Gogs ≤ 0.13.3에서 PutContents API의 부적절한 심볼릭 링크 처리로 인한 인증된 임의 파일 쓰기 취약점입니다.

인증된 사용자는 .git/config를 가리키는 심볼릭 링크를 커밋한 다음, API를 사용해 이를 덮어쓰고 악성 sshCommand를 주입하여 원격 코드 실행을 유발할 수 있습니다.

면책 조항

교육 및 승인된 테스트 목적으로만 사용하십시오. 소유하지 않았거나 테스트에 대한 명시적 허가를 받지 않은 시스템에는 사용하지 마십시오.

사용법

chmod +x poc.sh

./poc.sh \
  -i <target-ip-or-domain> \
  -P <port> \
  -u <username> \
  -p <password> \
  -t <api-token> \
  -c "<command-to-execute>" \
  [-r <repository-name>]   # optional, default: CVE-2025-8110

예제

참고 자료

• Wiz Research 블로그 – 최초 공개
• NVD – CVE-2025-8110
• Gogs 패치 커밋