Sicherheitslücke in Gogs: Authentifizierte Angreifer können Schadcode ausführen (heise.de)

• Kritische RCE-Lücke in Gogs entdeckt
• Erfordert Authentifizierung; Standardregistrierung offen
• Kein Patch verfügbar; Workaround durch Konfiguration

"Im Self-hosted-Git-Dienst Gogs wurde eine kritische Sicherheitslücke entdeckt. Angreifer müssen authentifiziert sein, können dann über eine Argument-Injection in der Rebase-before-Merge-Operation Schadcode ausführen. Standardmäßig ist die Registrierung offen, sodass sich Angreifer einen Account erstellen können. Ein Patch ist noch nicht verfügbar, die Entwickler wurden im März 2026 kontaktiert. Als Workaround sollten Admins die Registrierung deaktivieren und die Repository-Erstellung auf 0 setzen."