CVE-2014-8681

Gogs (versions 0.3.1-9 à 0.5.6.x) est affecté par une faille d'injection SQL dans son système de suivi des tickets. Un attaquant distant peut exécuter des commandes de base de données arbitraires en envoyant une requête spécialement conçue vers le paramètre « labels », ce qui pourrait lui permettre de lire, modifier ou supprimer des données sensibles. Cette attaque est facile à réaliser car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et peut être exécutée via le réseau.