{"id":1013,"date":"2026-05-28T19:04:32","date_gmt":"2026-05-28T19:04:32","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/28\/la-vulnerabilidad-critica-de-gogs-rce-permite-que-cualquier-usuario-autenticado-ejecute-codigo-arbitrario-cyberdefensa-mx\/"},"modified":"2026-05-28T19:04:32","modified_gmt":"2026-05-28T19:04:32","slug":"la-vulnerabilidad-critica-de-gogs-rce-permite-que-cualquier-usuario-autenticado-ejecute-codigo-arbitrario-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/28\/la-vulnerabilidad-critica-de-gogs-rce-permite-que-cualquier-usuario-autenticado-ejecute-codigo-arbitrario-cyberdefensa-mx\/","title":{"rendered":"La vulnerabilidad cr\u00edtica de Gogs RCE permite que cualquier usuario autenticado ejecute c\u00f3digo arbitrario \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Se ha revelado una vulnerabilidad de seguridad cr\u00edtica en Gogs, un popular servicio Git autohospedado de c\u00f3digo abierto, que permite a un usuario autenticado ejecutar c\u00f3digo arbitrario bajo ciertas condiciones.<\/p>\n<p>La falla de seguridad, seg\u00fan Rapid7, tiene una calificaci\u00f3n de 9,4 en el sistema de puntuaci\u00f3n CVSS. No tiene un identificador CVE.<\/p>\n<p>\u00abLa vulnerabilidad permite a cualquier usuario autenticado lograr la ejecuci\u00f3n remota de c\u00f3digo (RCE) en el servidor mediante la creaci\u00f3n de una solicitud de extracci\u00f3n con un nombre de rama malicioso que inyecta el indicador \u2013exec en git rebase durante la operaci\u00f3n de fusi\u00f3n &#8216;Rebase antes de fusionar&#8217;\u00bb, dijo el investigador de seguridad Jonah Burgess. <a href=\"https:\/\/www.rapid7.com\/blog\/post\/ve-authenticated-rce-via-argument-injection-gogs-unfixed\/\">dicho<\/a>.<\/p>\n<p><a href=\"https:\/\/www.atlassian.com\/git\/tutorials\/merging-vs-rebasing\">Rebasar<\/a> es una acci\u00f3n de Git que se utiliza para tomar una secuencia de confirmaciones de una rama de caracter\u00edsticas y reproducirlas encima de otra rama base para crear un historial de proyecto lineal. Mientras que \u00abgit rebase\u00bb resuelve el mismo problema que \u00abgit merge\u00bb (es decir, integrar cambios de una rama en otra), el primero reescribe el historial del proyecto creando nuevas confirmaciones para cada confirmaci\u00f3n en la rama original.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/threatlabz-vpn-risk-2026-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhnNON5UeWywT7OcPNw7V4L7QNWnCnm7Xl_99Y9ek8dL-gRwx-bWxQM1TKqt8deqqrdpUyKMuuijAWyyPQVB0s0qf8ntQ6ldFAJLru-QUWhddKTopc7SeNbBBnd-TsfFyRPP-AAyDuclLlL6XHK4_LXqDC_7eyaz9pzToYr7U543MhrJ7qcK-89sVWHTQUZ\/s728-e100\/zz-2-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>La acci\u00f3n \u00abgit rebase\u00bb tambi\u00e9n acepta como argumento un comando de shell a trav\u00e9s de un <a href=\"https:\/\/git-scm.com\/docs\/git-rebase#Documentation\/git-rebase.txt---execltcmdgt\">\u2013bandera ejecutiva<\/a> que se ejecuta despu\u00e9s de que se reproduce cada confirmaci\u00f3n. Un aspecto notable de la vulnerabilidad es que no requiere privilegios de administrador ni interacci\u00f3n con otros usuarios. Para llevar a cabo el ataque, todo lo que un actor de amenazas no autenticado tiene que hacer es crear una cuenta y un repositorio en cualquier instancia configurada de forma predeterminada.<\/p>\n<p>\u00abCualquier usuario registrado que cree un repositorio es autom\u00e1ticamente su propietario\u00bb, dijo Burgess. \u00abA partir de ah\u00ed, habilitar la fusi\u00f3n de rebase es un solo cambio en la configuraci\u00f3n, y toda la cadena de exploits se puede operar sin la interacci\u00f3n de ning\u00fan otro usuario\u00bb.<\/p>\n<p>En un escenario alternativo, un usuario con acceso de escritura a un repositorio donde el rebase ya est\u00e1 habilitado puede explotar la falla directamente para obtener la ejecuci\u00f3n del c\u00f3digo. En las instancias de Gogs donde la creaci\u00f3n de repositorios est\u00e1 restringida, se requiere que un atacante tenga acceso de escritura a cualquier repositorio que tenga habilitada la combinaci\u00f3n de rebase.<\/p>\n<p><iframe loading=\"lazy\" title=\"Rapid7 Labs: Gogs RCE | Windows\" width=\"1170\" height=\"658\" src=\"https:\/\/www.youtube.com\/embed\/YJ-AlRgQ9VE?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe><\/p>\n<p>Al momento de escribir este art\u00edculo, la vulnerabilidad sigue sin parchear a pesar de que se inform\u00f3 al responsable del mantenimiento el 17 de marzo de 2026. La explotaci\u00f3n exitosa del error podr\u00eda brindarle a un atacante la capacidad de violar el servidor, acceder a todos los repositorios de la instancia, volcar credenciales, pasar a otros sistemas accesibles en la red y alterar el c\u00f3digo de cualquier repositorio alojado.<\/p>\n<p>Es m\u00e1s, puede provocar una filtraci\u00f3n de datos entre inquilinos, lo que permite al atacante leer los repositorios privados de otros usuarios alojados en el mismo servidor compartido. Seg\u00fan Rapid7, la falla afecta a todas las plataformas compatibles, como Windows, Linux y macOS.<\/p>\n<p>Se estima que hay 1.141 instancias de Gogs conectadas a Internet. Sin embargo, se espera que la cifra real sea mayor, dado que la mayor\u00eda de las implementaciones se ubican detr\u00e1s de VPN o redes internas.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>A falta de un parche, se describen las siguientes recomendaciones:<\/p>\n<ul>\n<li>Restringir el registro de usuarios (DISABLE_REGISTRATION = true en app.ini) para evitar que usuarios que no son de confianza creen cuentas<\/li>\n<li>Restringir la creaci\u00f3n de repositorios (MAX_CREATION_LIMIT = 0 en app.ini) para evitar que los usuarios creen sus propios repositorios<\/li>\n<li>Auditar la configuraci\u00f3n de fusi\u00f3n de rebase<\/li>\n<\/ul>\n<p>Rapid7 tambi\u00e9n ha hecho un <a href=\"https:\/\/github.com\/rapid7\/metasploit-framework\/pull\/21515\">m\u00f3dulo de metasploit<\/a> que automatiza toda la cadena de exploits contra objetivos Linux y Windows. El m\u00f3dulo admite dos modos: un modo predeterminado en el que se crea un repositorio temporal en la cuenta del atacante, se ejecuta el exploit y se elimina el repositorio. El segundo enfoque apunta a un repositorio al que el atacante ya tiene acceso de escritura y fusi\u00f3n.<\/p>\n<p>\u00abCuando el atacante crea y elimina su propio repositorio, el \u00fanico rastro es un HTTP 500 en los registros del servidor\u00bb, dijo el experto en ciberseguridad. \u00abCuando se explota un repositorio existente, quedan artefactos adicionales\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Se ha revelado una vulnerabilidad de seguridad cr\u00edtica en Gogs, un popular servicio Git autohospedado de c\u00f3digo abierto, que permite a un usuario autenticado ejecutar c\u00f3digo arbitrario bajo ciertas condiciones. La falla de seguridad, seg\u00fan Rapid7, tiene una calificaci\u00f3n de 9,4 en el sistema de puntuaci\u00f3n CVSS. No tiene un identificador CVE. \u00abLa vulnerabilidad permite [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[2333,993,376,611,1307,24,2782,2781,265,779,2643,313],"class_list":["post-1013","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-arbitrario","tag-autenticado","tag-codigo","tag-critica","tag-cualquier","tag-cyberdefensa-mx","tag-ejecute","tag-gogs","tag-permite","tag-rce","tag-usuario","tag-vulnerabilidad"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1013","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1013"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1013\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1013"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1013"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1013"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}