گاگز آسیب‌پذیری روز-صفر بحرانی که امکان اجرای کد از راه دور را فراهم می‌کند، وصله کرد

پلتفرم مدیریت کد منبع Gogs یک آسیب‌پذیری امنیتی بحرانی از نوع روز-صفر (zero-day) را وصله کرد که به مهاجمان اجازه می‌دهد سرورهای در معرض اینترنت را به خطر انداخته و به تمامی مخازن (repositories)، از جمله مخازن خصوصی، دسترسی پیدا کنند. این آسیب‌پذیری از نوع تزریق آرگومان (argument injection) بوده و تمامی نسخه‌های Gogs تا ۰.۱۴.۲ و ۰.۱۵.۰+dev را تحت تأثیر قرار می‌دهد. محقق امنیتی شرکت Rapid7، جونا برگس، که این نقص را کشف و گزارش کرده، هشدار داد که از آنجا که Gogs به‌صورت پیش‌فرض ثبت‌نام آزاد را فعال دارد، یک مهاجم ناشناس می‌تواند صرفاً با ایجاد یک حساب کاربری و مخزن، کل زنجیره بهره‌برداری را بدون نیاز به تعامل با کاربر دیگری اجرا کند. نسخه ۰.۱۴.۳ در تاریخ ۷ ژوئن منتشر شد و Rapid7 به تمامی کاربران توصیه کرده است فوراً به‌روزرسانی کنند.

بر اساس داده‌های سازمان Shadowserver، در حال حاضر بیش از ۲٬۳۰۰ سرور Gogs در معرض اینترنت قرار دارند که اکثر آن‌ها در آسیا (۱٬۸۳۹ مورد) و اروپا (۳۱۲ مورد) مستقر هستند. برای کاربرانی که امکان به‌روزرسانی فوری ندارند، Rapid7 اقداماتی از جمله غیرفعال‌سازی ثبت‌نام عمومی و محدودسازی ایجاد مخزن را به‌عنوان راهکارهای کاهش ریسک توصیه کرده است. این آسیب‌پذیری جدید شباهت زیادی به نقص‌های مشابه قبلی در Gogs دارد، از جمله CVE-2025-8110 که در اوایل دسامبر ۲۰۲۶ صدها سرور را به خطر انداخت و در ژانویه ۲۰۲۵ توسط آژانس CISA به فهرست آسیب‌پذیری‌های فعالاً مورد بهره‌برداری اضافه شد.