CVE-2025-8110 – PoC de RCE no Gogs ≤ 0.13.3

Prova de conceito para CVE-2025-8110, uma escrita arbitrária de arquivos autenticada no Gogs ≤ 0.13.3 causada pelo tratamento inadequado de links simbólicos na API PutContents.

Um usuário autenticado pode fazer commit de um link simbólico apontando para .git/config e, em seguida, usar a API para sobrescrevê-lo e injetar um sshCommand malicioso, resultando em execução remota de código.

Aviso legal

Apenas para fins educacionais e de testes autorizados. Não use contra sistemas que você não possui ou sem permissão explícita para testar.

Uso

chmod +x poc.sh

./poc.sh \
  -i <target-ip-or-domain> \
  -P <port> \
  -u <username> \
  -p <password> \
  -t <api-token> \
  -c "<command-to-execute>" \
  [-r <repository-name>]   # optional, default: CVE-2025-8110

Exemplo