最近の脆弱性 › CVE-2025-8110

Gogs Gogs のパストラバーサルの脆弱性（CVE-2025-8110）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2025-8110
製品	Gogs Gogs
深刻度（CVSS）	8.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2026-01-12
米国政府機関の対応期限	2026-02-02
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-22

何が起きた

自分のサーバーで動かす Git サービスの Gogs で、ファイルの中身を書き換える PutContents API が、シンボリックリンクをきちんと扱わない弱点が見つかりました。決められた場所の外にあるファイルまで書き換えられ、サーバー上でコード（プログラム）を実行されるおそれがあります。ネットワーク経由で離れた場所から悪用できますが、一般利用者程度の権限（ログイン済みのアカウント）が必要です。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Gogs を自分のサーバーで動かしている組織や個人が対象です。CVE の記録と GitHub の勧告では、0.13.3 以下のバージョンが影響を受けるとされています。

何をすればいい

Gogs を 0.13.4 以降に更新してください。GitHub の勧告はこの問題の修正としてプルリクエスト 8082 を挙げており、Gogs の変更履歴では、その修正は 0.13.4 に含まれています（変更履歴では別の勧告の番号と結び付けて書かれています）。現在の最新版は 0.14.3 です。公式の案内（Gogs のリリースと GitHub の勧告）を確認してください。

やることチェックリスト

Gogs を0.13.4以降に更新する
できれば最新の0.14.3に更新する
動いている Gogs のバージョンを確かめる

用語メモ

シンボリックリンク: 別の場所にあるファイルやフォルダーを指す、ショートカットのような特別なファイルです。
API: プログラムどうしが決まった形でやり取りするための窓口です。
Git: プログラムなどのファイルの変更の履歴を記録し、みんなで管理するための仕組みです。

元データ（英語・CISA KEV より）

Gogs Path Traversal Vulnerability

概要

Gogs contains a path traversal vulnerability affecting improper Symbolic link handling in the PutContents API that could allow for code execution.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.