gogs 公告说修好了，7 天后有人说还在；他关掉报告，59 秒后又自己打开

本篇话题　gogs/gogs　CVE-2022-1285　GHSA-w689-557m-2cvq

一句话　webhook 里的服务端请求伪造（SSRF）—— 公告说修好了，其实还在

原始报告　github.com/gogs/gogs/issues/7031（至今 open）

各位老哥，今天这个瓜我得说一句：这个比我想的还拧巴。

好家伙，我原本以为是「修了一半就宣布全好了」，结果比那还绕。

一个人三年前对外宣布「这个洞修好了」，还贴了一张公开公告。

七天后，有人升级完上手一测，回了一句：

are claimed to be fixed. But still exist via test.

（声称已修复。我测下来它还在。）

然后他做了一件事：把这个人的报告关掉了。

再过 34 分钟，他说了一句话。那句话等于承认：当年那个补丁，修的根本不是根因。

有人在群里喊一句「谁有空帮我取个快递，单号是 XXX」，发单号的人可以随便写。

他写你家的门牌号，你就真去了。

gogs 里那个叫 webhook 的功能就是这个角色：外部系统发个消息过来，gogs 自动按消息里给的地址去跑一趟。

发地址的人不受限制。 那他就可以填一个只有服务器自己能到达的地址 —— 比如它自己的内网。

洞就在这儿。服务器变成了别人的跑腿。

项目　gogs/gogs，47879 星（2026-10-17 亲测）。一个自己搭的「小型代码服务器」，不少小团队拿它托管内部仓库。

谁　维护者 @unknwon（真名 Oleg Zaytsev），从项目早期就在，一个人管着。

修了什么　CVE-2022-1285，安全公告号 GHSA-w689-557m-2cvq。

结果　宣布修好，7 天后有人说还在。

全部是 GitHub 公开页面，不用登录。

2022 年 4 月 9 日，有人把那个洞报上去，开了 #6901，标题就叫「SSRF in webhook」。

5 月 31 日 07:17:18，维护者自己关闭了它。

当天上午 09:31:41，v0.12.8 发布。

两小时后，11:37:34，他在那个 issue 里留了一句话，逐字：

The 0.12.8 has been released that includes the patch of the reported issue.

The security Advisory has been published at …GHSA-w689-557m-2cvq.

（0.12.8 已发布，包含了对该问题的补丁。安全公告也已发布。）

Affected versions <0.12.8　Patched versions 0.12.8

三处都写着。更新日志里那条是：- _Security:_ SSRF in webhook. [#6901]

从公告到版本号到更新日志，三个地方都写着「修好了」。

一周后，v0.12.9 发布：6 月 7 日 15:35:01。

第二天早上 05:39:36，@cokeBeer 开了新 issue，标题是「Unresolved SSRF in webhook」。

in changelog of 0.12.9, …#6901 are claimed to be fixed.

距离新版发布，14 小时 4 分 35 秒。

他写的版本号是 0.12.9，更新日志里那条挂在 0.12.8 底下。

他跑的确实是 0.12.9，只是翻的是上一版的日志。

这条差一个版本号不影响结论 —— 不管他写哪个版本号，他升级之后测出来那个洞，都还在。

但它顺带说明了一件事：连来报这个洞的人，都没能第一时间翻到那条记录。

6 月 9 日，@cokeBeer 那个 issue 挂了几天。

关掉别人的报告，35 分钟之后又自己开回去，还顺手说明了真正该怎么修。

这三个动作连在一起，等于同一句话说了三遍：这事我搞错了，但我没打算装作没事。

他一个字理由都没留。 关闭事件不带评论正文。

重新打开之后 33 分 53 秒，也就是 11:29:10，他留了一行：

Note: disable follow redirects in HTTP client.

（注：在 HTTP 客户端里，别跟着跳转走。）

老哥们，这一行是全文最狠的地方。

他用一行字说清了「当年该怎么修」。也就等于承认：当年那个补丁，没这么做。

而 0.12.8 那次修的是什么？同一份日志的另一个版本段里写着：

All users (including admins) need to use the configuration option

[security] LOCAL_NETWORK_ALLOWLIST to allow repository migration and webhooks

to be able to access local network addresses…

（所有用户需要配置 [security] LOCAL_NETWORK_ALLOWLIST 来放行本地网络地址……）

他做的是「加个开关，让你手动列出哪些内网地址可以访问」。

他该做的是「不跟着跳转走」。

一个治标，一个治本。他选了治标，然后宣布治好了。

📌 四年后，这条又原样回来了一次。2026 年 6 月发布的 v0.14.3，

那条修复的标题逐字是：Server-side request forgery in webhook

deliveries via HTTP redirects to local network addresses。

「via HTTP redirects」—— 正是他 2022 年 6 月说的那个词。

2023 年 12 月，一位赏金研究者 @Sim4n6 找到了当年的报告链接：

Indeed, this is what lead to this security report …

Hi @Sim4n6, based on the linked report, the current status is "Awaiting fix".

（当前状态是「等待修复」。你要有兴趣的话，欢迎提 PR :D）

从宣布修好那天算，到他说这句「等待修复」，680 天。

他用四个字，把三年前那句「已修复」收了回去。

同一天下午 15:23:44，又有人问：

Do you have any bug bounty reward program for identifying vulnerabilities and suggesting fixes please?

Unfortunately, we do not have bug bounty reward program.

（抱歉，我们没有漏洞赏金计划。）

找赏金的没有赏金，提 PR 的等了一年。

那个 issue 到今天（2026-10-17）仍然是 open，最后一条活动停在 2024 年 4 月 10 日。

  2022-04-09 05:59:01   洞被报上去，开了 #6901

  2022-05-31 07:17:18   维护者关闭 #6901

  2022-05-31 11:37:34   宣布「包含了对该问题的补丁」

  2022-06-08 05:39:36   「声称已修复。我测下来还在。」

  2022-06-09 10:54:18   维护者关闭这个报告

  2022-06-09 10:55:17   他自己重新打开 —— 相隔 59 秒

  2022-06-09 11:29:10   「别跟着跳转走。」

  2024-04-10 13:05:52   状态改口：「等待修复」

  2024-04-10 15:23:44   「我们没有漏洞赏金计划」

  2026-06-07 20:51:06   v0.14.3 —— 同类问题又单独立项修了一次

  2026-10-17（今天）   #7031 仍 open，已 1599 天

- 7 天 18 小时 —— 宣布修好到有人说还在

- 680 天 —— 宣布修好到官方改口说「等待修复」

写完这个 case，我卡在最后这一句上：

没有人在滥用任何东西。没有人拦错任何一份补丁。没有说错任何一个字。

偏偏就是这三句「没有」，把整件事定了性。

他只是把自己三年前写下的那个「修好了」，又读了 59 秒，然后关掉了别人的报告。

前面几篇我写过：一道门跑偏了，一条判据被废了，一个门被堵死了，三种死法，一个门忘了自己该重新评估。

这一篇是另一种，也是最安静的一种：

判据跑了，也跑对了。它没跑偏，也没撒谎。它只是修的是症状，然后对着症状宣布「好了」——顶多算对症下药，没对病根。

gogs 公告说修好了，7 天后有人说还在

项目更新日志和安全公告都写着「这个洞修好了」，7 天后有用户升级完测出来还在。维护者关掉他的报告，59 秒后又自己打开，34 分钟后写出真正该怎么修，一年后把状态改口成「等待修复」。

安全

后端

新闻资讯

Gogs Webhook SSRF漏洞CVE-2022-1285修复不彻底：官方2022年5月宣布修复，7天后用户实测仍存在，维护者关报告59秒后重开，承认补丁未治本，仅添加本地网络白名单而非禁用HTTP重定向，该问题持续至2026年仍待解决。

服务器

GitHub

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

gogs 公告说修好了，7 天后有人说还在

gogs 公告说修好了，7 天后有人说还在

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐