CVE-2026-26276

mediumPriorität · verfolgen · 22EPSS 0.002 · 9. PerzentilDEEURUUS
grimoire priorityP3 · Track
Exploitable?
—
no known exploitation
Likely / severe?
0.19% (9th) EPSS
CVSS 5.4 · medium
Is it mine?
7 products
Prüfe deine Angriffsfläche
Who says so?
6 sources
cnnvd · enisa_euvd · fstec_bdu · osv

EPSS · bewertet 2026-10-27

Gogs is an open source self-hosted Git service. Prior to version 0.14.2, an attacker can store an HTML/JavaScript payload in a repository’s Milestone name, and when another user selects that Milestone on the New Issue page (/issues/new), a DOM-Based XSS is triggered. This issue has been patched in version 0.14.2.

01

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

7.3
010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · medium–high · 5–7.3

v3.15.4mediumCVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:Nprimary · NVD / NIST USAusnutzbarkeit 2.3 · Auswirkung 2.7
v3.17.3highAV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:Nsecondary · FSTEC (BDU) RU
v3.17.3highCVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:Nsecondary · ENISA EU
v3.17.3highCVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:Nsecondary · security-advisories@github.comAusnutzbarkeit 2.1 · Auswirkung 5.2
v3.17.3highCVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:Nsecondary · OSV
v3.15mediumCVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N/E:Usecondary · CVSS-BT (t0sche)
02

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: no · Technical Impact: totalcoordinatorcisa_ssvcUS
03

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-79USCWE-79USCWE-79US
04

betroffene Produkte (7)

Betroffene Produkte und Versionsbereiche.

05

Advisories (3)

Hersteller- und Ökosystem-Meldungen dazu.

  • WID-SEC-W-2026-0623Gogs: Mehrere SchwachstellenDeutsch2026-03-05csaf · cert_bundDE

    Ein Angreifer kann mehrere Schwachstellen in Gogs ausnutzen, um Daten zu manipulieren, Cross-Site-Scripting-Angriffe durchzuführen oder vertrauliche Informationen offenzulegen.

  • GHSA-vgjm-2cpf-4g7cGogs: DOM-based XSS via milestone selection2026-03-05ghsa · osvUS

    # Summary It was confirmed in a test environment that an attacker can store an HTML/JavaScript payload in a repository’s **Milestone name**, and when another user selects that Milestone on the **New Issue** page (`/issues/new`), a **DOM-Based XSS** is triggered. # Impact * Theft of information accessible in the victim’s session. * Extraction of CSRF tokens and submission of state-changing requests with the victim’s privileges. * Repository operations performed with the victim’s privileges (Issue operations, settings changes, etc.). (The impact scope depends on the victim’s permission level.) # Remediation A fix is available at https://github.com/gogs/gogs/releases/tag/v0.14.2

  • GO-2026-4627Gogs: DOM-based XSS via milestone selection in gogs.io/gogs2026-03-10vendor · osvUS

    Gogs: DOM-based XSS via milestone selection in gogs.io/gogs

06

auch bekannt als (6)

Weitere Namen und Kennungen dieser Entität.

07

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvdenisa_euvdfstec_bduosvcert_bundnvdNVDCVE.orgMITRE
veröffentlicht 2026-03-05geändert 2026-06-17
08

Referenzen (10)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan