CVE-2026-20912
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Podatność w Gitea umożliwia nieprawidłową walidację własności repozytorium podczas łączenia załączników z wydaniami. Załącznik przesłany do prywatnego repozytorium może zostać powiązany z wydaniem w innym publicznym repozytorium, co udostępnia go nieautoryzowanym użytkownikom.
Ocena ryzyka
Ryzyko polega na wycieku poufnych danych z prywatnych repozytoriów do publicznych, co może naruszyć poufność projektów i umożliwić dostęp do chronionych plików osobom nieuprawnionym.
Rekomendacja
Zaleca się natychmiastową aktualizację Gitea do najnowszej wersji zawierającej poprawkę oraz weryfikację konfiguracji uprawnień dostępu do repozytoriów i załączników.
Oryginalny opis (angielski, źródło NVD)
Gitea does not properly validate repository ownership when linking attachments to releases. An attachment uploaded to a private repository could potentially be linked to a release in a different public repository, making it accessible to unauthorized users.