Gogit Go-Git 未授权表达式注入漏洞 (CVE-2025-21613)

漏洞详情:
go-git发布v5.13版本,新版本中修复了一个参数注入漏洞,该漏洞源于go-git库在使用文件传输协议时,未能正确处理或验证通过URL字段传入的输入,导致攻击者可能注入恶意参数到本地调用的git二进制文件中,攻击者可利用该漏洞修改git-upload-pack命令的标志,从而控制命令行为,漏洞已在5.13.0版本中修复,建议受影响用户及时升级到安全版本。

修复建议:
针对此漏洞,官方已经发布了漏洞修复版本,请立即更新到安全版本:
go-git >= 5.13.0

可通过修改项目的依赖管理文件（如go.mod）中的版本号来进行升级。

例如,在go.mod文件中,将go-git版本设置为5.13.0版本:

module your-project-name
require (
    ...
    gopkg.in/src-d/go-git.v5 v5.13.0
    ...
)

运行go get -u以更新依赖项并拉取最新版本的go-git库。

安装后,进行全面测试以验证漏洞已被彻底修复,并确保系统其他功能正常运行。

原文始发于微信公众号（飓风网络安全）：【漏洞预警】Gogit Go-Git 未授权表达式注入漏洞 (CVE-2025-21613)