Betroffen ist Gogs, ein selbst gehosteter Git-Dienst. Die Anwendung prüft Organisationsnamen nicht ausreichend: Namen, die Pfadwechsel-Sequenzen enthalten, werden akzeptiert und beim Anlegen von Repositories unverändert in den Dateipfad übernommen. Dadurch landen Repository-Daten an frei wählbaren Stellen des Dateisystems außerhalb des vorgesehenen Speicherverzeichnisses, und ebenso lassen sich Daten von dort auslesen. Legt ein Angreifer auf diese Weise ineinander verschachtelte Git-Repositories an, kann er die Hook-Konfiguration eines anderen Repositories überschreiben. Git-Hooks sind Skripte, die bei bestimmten Repository-Ereignissen automatisch ausgeführt werden – wer sie kontrolliert, kann eigenen Code auf dem Server ausführen. Aus dem Pfadwechsel-Fehler wird damit eine Remotecodeausführung mit den Rechten des Gogs-Dienstes. Ausnutzbar ist die Lücke von jedem, der auf der Instanz eine Organisation und Repositories anlegen darf – auf offen registrierbaren Servern also praktisch von beliebigen Nutzern.