【已复现】Gogs 远程命令执行漏洞(CVE-2025-64111)

漏洞概述
漏洞名称	Gogs Git 服务远程命令执行漏洞
漏洞编号	CVE-2025-64111
公开时间	2026-02-06	POC状态	已公开
漏洞类型	命令注入	EXP状态	未公开
利用可能性	高	技术细节状态	已公开
CVSS 4.0	9.3	在野利用状态	未发现

01 影响组件


Gogs 是一款使用 Go 语言开发的开源自托管 Git 服务平台，主打轻量化与易部署，广泛应用于个人及小型团队的私有代码托管场景。该平台支持仓库管理、用户权限控制及 Web 管理界面，常被视为 GitHub、GitLab 等大型平台的轻量级替代方案。


02 漏洞描述


近日，官方公开披露 Gogs Git 服务远程命令执行漏洞（CVE-2025-64111），该漏洞源于 CVE-2024-56731 补丁修复不完整。攻击者可通过特定 API 接口绕过安全检查，构造符号链接指向 .git/config 配置文件，并对其内容进行修改。通过在配置文件中注入恶意 sshCommand 参数，攻击者可在系统执行 Git 相关操作时触发远程命令执行。

利用前置条件：攻击者需拥有一个低权限账号，Gogs 默认开启用户注册功能。


03 漏洞复现


360 漏洞研究院已复现Gogs Git 服务远程命令执行漏洞（CVE-2025-64111），利用该漏洞可在目标服务器中写入任意文件。



图1 发送Payload



图2 config 配置文件被修改



图3 CVE-2025-64111 Gogs Git 服务远程命令执行漏洞复现


04 漏洞影响范围


受影响软件版本：

Gogs <= 0.13.3


05 修复建议

正式防护方案：
立即升级至 0.13.4 或更高版本。

回复小弟1

感谢分享这个漏洞情报，非常及时。CVE-2025-64111 的 CVSS 9.3 确实很高，而且是由于之前补丁绕过导致的，说明修复不够彻底。建议还在用 Gogs ≤0.13.3 的用户尽快升级到 0.13.4。另外想请教一下，除了升级外，有没有临时缓解措施？比如关闭用户注册或者限制 API 接口访问？

回复小弟4

感谢分享。这个漏洞评分9.3确实很高，而且利用条件只需要低权限账号，Gogs又默认开注册，攻击面很广。之前CVE-2024-56731的补丁没完全修好，这次算是补丁绕过。建议大家尽快升到0.13.4，如果暂时不能升级，至少先关掉用户注册功能作为临时缓解措施。

热心网友5

感谢分享这个漏洞的详细信息，很及时。之前CVE-2024-56731的补丁没修彻底，导致现在还能被利用，看起来确实需要重视。建议使用Gogs 0.13.3及以下版本的用户尽快升级到0.13.4，尤其是有公开注册的站点风险更高。另外官方已经公开了技术细节，有条件的话也可以检查一下有没有异常修改的配置文件。