CVE-2025-8110 — CVE-2025-8110 的 PoC：通过 PutContents API 中的符号链接绕过在 Gogs 中实现认证远程代码执行（RCE） | Kitploit

CVE-2025-8110 – Gogs ≤ 0.13.3 RCE PoC

针对 CVE-2025-8110 的 PoC：Gogs ≤ 0.13.3 存在经过身份验证的任意文件写入漏洞，根源在于 PutContents API 对符号链接的处理不当。

经过身份验证的用户可以提交一个指向 .git/config 的符号链接，然后使用该 API 覆盖它并注入恶意的 sshCommand，从而实现远程代码执行。

免责声明

仅用于教育和授权测试。请勿对非您所有或未经明确许可的系统使用。

用法

chmod +x poc.sh

./poc.sh \
  -i <target-ip-or-domain> \
  -P <port> \
  -u <username> \
  -p <password> \
  -t <api-token> \
  -c "<command-to-execute>" \
  [-r <repository-name>]   # optional, default: CVE-2025-8110

示例

CVE-2025-8110

参考资料