CVE-2026-26292
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Podatność w Gitea przed wersją 1.25.5 polega na tym, że operacje push LFS i synchronizacji mirror nie korzystają z transportu HTTP migracji, co omija skonfigurowane zabezpieczenia transportu migracji dla tych żądań LFS.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany transfer danych LFS poza dozwolone kanały migracji, co zwiększa ryzyko wycieku danych lub naruszenia polityki bezpieczeństwa.
Rekomendacja
Należy niezwłocznie zaktualizować Gitea do wersji 1.25.5 lub nowszej, aby zapewnić stosowanie zabezpieczeń transportu migracji dla wszystkich operacji LFS.
Oryginalny opis (angielski, źródło NVD)
Gitea versions before 1.25.5 do not use the migration HTTP transport for LFS push and sync mirror operations, bypassing the configured migration transport protections for those LFS requests.