CVE-2026-20736
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność w Gitea umożliwia użytkownikowi usunięcie załącznika z repozytorium, do którego utracił dostęp, poprzez wykonanie żądania przez inne repozytorium, do którego ma dostęp. Problem wynika z nieprawidłowej weryfikacji kontekstu repozytorium podczas usuwania załączników.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowane usunięcie załączników w repozytoriach, co może prowadzić do utraty danych lub zakłócenia pracy zespołów programistycznych.
Rekomendacja
Należy niezwłocznie zaktualizować Gitea do wersji zawierającej poprawkę usuwającą tę podatność. Do czasu aktualizacji warto ograniczyć dostęp do repozytoriów i monitorować operacje usuwania załączników.
Inne podatności w Gitea
Zobacz wszystkie- CVE-2026-60004KrytyczneAktywnie exploitowane
Gitea przed wersją 1.27.1 umożliwia zdalne wykonanie kodu poprzez API diffpatch przez instalację hooków Git.
- CVE-2026-58508Krytyczne
Dwie podatności SSRF w migracji/mirrorowaniu Gitea (DNS rebinding + brak ponownej walidacji).
- CVE-2026-58443Krytyczne
Tokeny repozytorium tylko do odczytu mogą aktualizować prywatne gałęzie head PR.
- CVE-2026-58433Krytyczne
Endpoint łączący repozytorium z zespołem omija ustawienie organizacji RepoAdminChangeTeamAccess. Oznacza to, że użytkownik bez odpowiednich uprawnień może zmienić przypisanie repozytorium do zespołu.
- CVE-2026-56750Krytyczne
Kradzież tokena „Remember-Me” w Gitea nie unieważnia sesji atakującego, co pozwala na dalszy nieautoryzowany dostęp.
- CVE-2026-56654Krytyczne
Podatność umożliwia eskalację uprawnień poprzez rozszerzenie zakresu tokena dostępu w API.
- CVE-2026-56443Krytyczne
Token o zakresie public-only może ominąć ograniczenia dla właścicieli o ograniczonej widoczności (kategorie Repozytorium i Pakiet) — pozostałość po CVE-2026-25714 / PR #37118.
- CVE-2026-55982Krytyczne
Endpoint userinfo w OIDC zwraca dane tożsamości bez egzekwowania zakresów tokenów API.
- CVE-2026-58426Krytyczne
Podatność w Gitea Actions Artifacts V4 wynika z niejednoznaczności HMAC w podpisanych URL-ach, co umożliwia odczyt artefaktów z innego repozytorium oraz zapis stanu przesyłania między zadaniami.
- CVE-2026-27780Krytyczne
Podatność w Gitea przed wersją 1.26.0 polega na tym, że podczas przetwarzania wejścia z hooka pre-receive nie następuje zamknięcie połączenia w przypadku błędów bufio.Scanner. Umożliwia to przesłanie zbyt dużego wejścia, które omija sprawdzanie ochrony gałęzi.
Oryginalny opis (angielski, źródło NVD)
Gitea does not properly verify repository context when deleting attachments. A user who previously uploaded an attachment to a repository may be able to delete it after losing access to that repository by making the request through a different repository they can access.