漏洞概述 该漏洞涉及Gogs平台中的Webhook交付功能。具体问题是，当Gogs可访问时，安全代理认证头被任何远程地址接受，允许用户冒充Gogs进行直接重定向。此外，服务器端请求伪造（SSRF）漏洞允许通过HTTP重定向到本地网络地址。 影响范围 安全代理认证头：任何远程地址都可以接受安全代理认证头，导致用户冒充Gogs。 SSRF漏洞：通过HTTP重定向到本地网络地址，可能导致内部网络信息泄露或进一步攻击。 修复方案 1. 限制认证头来源：仅信任来自 列表中的地址的安全代理认证头。 2. 防止SSRF：在Webhook交付中，拒绝跟随重定向到本地网络地址。 代码变更 以下是相关的代码变更： 这些变更确保了Webhook交付的安全性和防止SSRF攻击。