Gogsのパス・トラバーサルの脆弱性CVE-2026-52813
CVEレコードによると、オープンソースのセルフホスト型GitサービスGogsの0.14.3より前の版は、パス・トラバーサルの文字列（../）を含む組織名を受け付ける脆弱性CVE-2026-52813を持つ［5］。入れ子のGitリポジトリを作って他方のフックの設定を上書きすると、任意のコード実行（RCE）に至りうる［5］。脆弱性は0.14.3で修正された［5］。
脆弱性の内容
| 項目 | 値 | 資料 |
|---|---|---|
| CVSS 3.1（CVEレコード） | 10.0（CRITICAL）、AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H | ［5］ |
| CVSS 3.1（NVD） | security-advisories@github.comによるSecondaryの値だけ | ［6］ |
| CWE | CWE-23（Relative Path Traversal） | ［5］ |
| SSVC（CISAのADP） | Exploitationはpoc、Automatableはyes、Technical Impactはtotal | ［5］ |
CVEレコードの説明によると、組織の下のリポジトリはパス・トラバーサルに従った場所に書かれ、ファイルシステム上の任意の場所でリポジトリのデータを保存・取得できる［5］。
Aikido Securityの報告では、同社のAIのペネトレーションテストのエージェントが、APIからだけ届く組織のユーザー名のパス・トラバーサルを報告した［7］。各ユーザーのリポジトリの置き場所を決める関数UserPathは、ユーザー名を設定されたリポジトリのルートのディレクトリとそのまま結合する［7］。ユーザー登録ではAlphaDashDotの検証で英数字と「-_.」だけを許すが、組織作成のAPIの要求（createOrgRequest）のUserNameにはその検証が無い［7］。
Aikidoは、この脆弱性だけでは任意の場所にbareリポジトリを作れても、既存のファイルは上書きできないと説明した［7］。続いてbareリポジトリを別のリポジトリの作業ツリーに置き、Gitのpushでフックを書き換えた［7］。Webの編集画面は入れ子のリポジトリの編集を許さなかったが、pushは通った［7］。この手順で、gitユーザーとしてGogs上での任意のコード実行に成功した［7］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Gogs | 0.14.3を公開した | ［2、8］ |
| 2026年 | - | CVE-2026-52813の番号が予約された | ［5］ |
| 2026年 | - | CVEレコードが公開された（CNAはGitHub_M） | ［5］ |
| 2026年 | NVD | CVEを載せた（状態はDeferred） | ［6］ |
| 2026年 | CISA（ADP） | SSVCで評価した | ［5］ |
| 2026年 | - | CIRCLのVulnerability-LookupにKEVIntelの悪用の項目が登録された | ［9］ |
| 2026年 | Shadowserver | ハニーポットで悪用の試みを初めて観測した | ［9］ |
| 2026年 | Aikido Security | 発見の経緯と任意のコード実行に至る手順の報告を公開した | ［7］ |
対象の製品と版
| 記録した組織 | 識別子・状態 | 影響を受ける版と修正版 | 資料 |
|---|---|---|---|
| GitLab Advisory Database | CVE-2026-52813（2026年6月23日掲載、8月13日更新） | 0.14.3より前のすべての版、修正版は0.14.3 | ［10］ |
| Go Vulnerability Database | GO-2026-5305（6月25日掲載、未レビュー） | 0.14.3より前という版はGoモジュールの版に変換できず、govulncheckは無視する | ［11］ |
| Debian | 対象外（NOT-FOR-US）、パッケージにしていない | - | ［4］ |
Rapid7が5月28日に別の脆弱性を公表したとき、Shodanの検索で見つかったインターネットに面したGogsは1,141件だった［8］。
悪用の状況
CIRCLのVulnerability-Lookupに載ったKEVIntelの項目では、悪用の成功（Successful Exploitation）の確度は70%で、CISAのKEVには未登録だった［9］。Shadowserverの項目の種別はハニーポットでの実環境の試みで、確度は70%である［9］。最後に観測した7月11日には、ハニーポットへの接続が2件あった［9］。
Daily CyberSecurityは6月26日の記事で、0.14.3で修正された3件の任意のコード実行の脆弱性（CVE-2026-52813、CVE-2026-52806〔注1〕、CVE-2026-52811）の詳細とPoCが公開されていると報じた［12］。記事は、Gogsのチームが3件すべてのアドバイザリを公開し、各アドバイザリには動くPoCが含まれると伝えた［12］。これらのCVEの実環境での悪用は、まだ確認されていないと報じた［12］。
修正と回避策
Gogsは、GitHubのリポジトリでアドバイザリGHSA-c39w-43gm-34h5と修正のプルリクエスト#8334を公開した［1、3］。
Aikidoの報告では、同社の報告はすべて0.14.3で修正されたが、報告した脆弱性の一つには修正されていない回避が残る〔注2〕［7］。Aikidoは、Gogsは現在活発に保守されていないとして、当面は別のセルフホスト型のGitを使うよう勧めた［7］。
未公表の事項
- 実際に侵害を受けたGogsのサーバーの数と運用組織
- 悪用を試みた主体
- CVE-2026-52810の回避への開発者の対応（Aikidoは、回避を開発者に報告したが、報告の公開までに返答が無いと説明した［7］）
注
出典
当事者
- ［1］Gogs『Path Traversal in organization name results in RCE through Git hooks（GHSA-c39w-43gm-34h5）』（公開日不明、保存記録のみ） 保存記録
- ［2］Gogs『Release 0.14.3』（2026年6月7日公開、保存記録のみ） 保存記録
- ［3］Gogs『Pull request #8334』（公開日不明、保存記録のみ） 保存記録
関係組織
- ［4］Debianセキュリティチーム『CVE-2026-52813』（公開日不明、2026年11月7日閲覧）
公的機関
- ［5］CVE Program『CVE-2026-52813 Gogs: Path Traversal in organization name results in RCE through Git hooks』（2026年6月24日公開、2026年6月26日更新）
- ［6］NIST National Vulnerability Database『CVE-2026-52813』（2026年6月24日公開、2026年6月26日更新）
調査・観測
- ［7］Aikido Security BV『Yet another RCE in Gogs, but it's fixed this time!』（2026年8月19日公開）
- ［8］Rapid7, Inc.『CVE-2026-52806: Authenticated RCE via Argument Injection in Gogs (FIXED as of June 7, 2026)』（2026年5月28日公開、2026年7月10日更新）
- ［9］Computer Incident Response Center Luxembourg『CVE-2026-52813 - Vulnerability-Lookup』（2026年6月24日公開、2026年7月13日更新）
- ［10］GitLab Inc.『CVE-2026-52813: Gogs has Path Traversal in organization name that results in RCE through Git hooks』（2026年6月23日公開、2026年8月13日更新）
- ［11］Goチーム『Vulnerability Report: GO-2026-5305』（2026年6月25日公開）
報道機関
- ［12］SecurityOnline.info『Public Exploits Released for Three Gogs RCE Flaws, CVSS Up to 10』（2026年6月26日公開）
更新記録
- 2026年6月28日：公開した。
- 2026年6月30日：CIRCLのVulnerability-Lookup（出典9）に登録されたKEVIntelの項目を「悪用の状況」と「時系列」に加えた。
- 2026年7月10日：Rapid7の報告の7月10日の更新版（出典8）から、0.14.3の公開日を「時系列」に、インターネットに面したGogsの数を「対象の製品と版」に、CVE-2026-52806の内容を「注」に加えた。
- 2026年7月13日：CIRCLのVulnerability-Lookup（出典9）のShadowserverの項目（7月13日更新）を「悪用の状況」と「時系列」に加えた。
- 2026年8月13日：GitLab Advisory Databaseの8月13日の更新（出典10）を「対象の製品と版」に加えた。
- 2026年8月19日：Aikido Securityの報告（出典7）を加え、発見の経緯と任意のコード実行に至る手順を「脆弱性の内容」に、修正の状況と勧めを「修正と回避策」に、CVE-2026-52810の回避を「注」と「未公表の事項」に加えた。