PT-2020-14088 · Gogs · Gogs

Muxishuihan · Publicado 2020-06-21 · Atualizado 2024-08-21 · CVE-2020-14958

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Gogs versão 0.11.91

Descrição

O problema está relacionado a permissões inseguras no Gogs, especificamente na função MakeEmailPrimary, localizada em models/user mail.go. Essa função não possui uma verificação para garantir que o usuário seja o proprietário do e-mail, o que pode levar a problemas de segurança.

Recomendações

Para a versão 0.11.91 do Gogs, considere modificar a função MakeEmailPrimary em models/user mail.go para incluir uma verificação que confirme se o usuário é o proprietário do e-mail antes de permitir alterações nas configurações de e-mail. Como solução temporária, considere restringir o acesso à funcionalidade de modificação de e-mail até que uma correção adequada seja implementada.

Correção

Improper Preservation of Permissions

Enumeração de Fraquezas

CWE-281

Identificadores relacionados

CVE-2020-14958

GHSA-4C7M-VV47-7C69

GO-2022-0788

Produtos afetados

Gogs

Referências · 8

• https://github.com/gogs/gogs/pull/5988 · Correção
• https://github.com/gogs/gogs/commit/82ff0c5852f29daa5f95d965fd50665581e7ea3c · Correção
• https://osv.dev/vulnerability/GO-2022-0788 · Aviso do Fabricante
• https://t.me/cvenotify/4543 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-14958 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-4c7m-vv47-7c69 · Aviso do Fabricante
• https://github.com/advisories/GHSA-4c7m-vv47-7c69 · Nota
• https://osv.dev/vulnerability/CVE-2020-14958 · Aviso do Fabricante