CVE-2025-8110: Esecuzione di codice in Gogs tramite symlink

CVE-2025-8110 è una vulnerabilità di improper symbolic link handling che riguarda l'API PutContents di Gogs, una piattaforma self-hosted di git hosting diffusa nelle infrastrutture aziendali. La falla consente l'esecuzione di codice locale agli attaccanti che abbiano accesso autenticato alla piattaforma, rappresentando un rischio critico per organizzazioni che espongono Gogs in rete o in ambienti multi-tenant.

La vulnerabilità è assegnata un punteggio CVSS di 8,8 (high). Un proof of concept pubblico è apparso su GitHub il 2 novembre 2026, lo stesso giorno di questo rapporto, segnalando che il codice di exploit è già documentato e disponibile per studio nella comunità di sicurezza. La vulnerabilità è stata pubblicata dal NIST il 10 dicembre 2025. Pur disponendo di PoC pubblico, non sono ancora riportati attacchi in produzione confermati nei database pubblici.

Chi amministra istanze Gogs deve verificare immediatamente la versione installata e la configurazione dell'API PutContents, consultando il changelog ufficiale del progetto per le indicazioni di patch. È essenziale limitare l'accesso autenticato a Gogs attraverso firewall, segmentazione di rete e MFA; controllare i log di accesso e di modifica dei file nei giorni precedenti per rilevare eventuali sfruttamenti. Monitorare i repository per modifiche non autorizzate e verificare l'integrità dei contenuti.

La gestione impropria dei symlink è un vettore di attacco classico in sistemi di file hosting e repository. Nel contesto dell'API PutContents di Gogs, un attaccante autenticato potrebbe sfruttare questa debolezza per scrivere file in posizioni non previste del file system, aggirando i controlli di accesso e ottenendo il controllo dell'applicazione o del server sottostante.