Podatności Gitea

Dwie podatności SSRF w migracji/mirrorowaniu Gitea (DNS rebinding + brak ponownej walidacji).

Tokeny repozytorium tylko do odczytu mogą aktualizować prywatne gałęzie head PR.

Endpoint łączący repozytorium z zespołem omija ustawienie organizacji RepoAdminChangeTeamAccess. Oznacza to, że użytkownik bez odpowiednich uprawnień może zmienić przypisanie repozytorium do zespołu.

Kradzież tokena „Remember-Me” w Gitea nie unieważnia sesji atakującego, co pozwala na dalszy nieautoryzowany dostęp.

Podatność umożliwia eskalację uprawnień poprzez rozszerzenie zakresu tokena dostępu w API.

Token o zakresie public-only może ominąć ograniczenia dla właścicieli o ograniczonej widoczności (kategorie Repozytorium i Pakiet) — pozostałość po CVE-2026-25714 / PR #37118.

Endpoint userinfo w OIDC zwraca dane tożsamości bez egzekwowania zakresów tokenów API.

Podatność w Gitea Actions Artifacts V4 wynika z niejednoznaczności HMAC w podpisanych URL-ach, co umożliwia odczyt artefaktów z innego repozytorium oraz zapis stanu przesyłania między zadaniami.

Podatność w Gitea przed wersją 1.26.0 polega na tym, że podczas przetwarzania wejścia z hooka pre-receive nie następuje zamknięcie połączenia w przypadku błędów bufio.Scanner. Umożliwia to przesłanie zbyt dużego wejścia, które omija sprawdzanie ochrony gałęzi.

Podatność w Gitea do wersji 1.26.1 włącznie wynika z niewystarczającego sprawdzania uprawnień dla linków źródłowych pakietów Composer. Może to prowadzić do ujawnienia informacji o prywatnych lub wewnętrznych źródłach pakietów.

Podatność w Gitea przed wersją 1.25.5 polega na tym, że operacje push LFS i synchronizacji mirror nie korzystają z transportu HTTP migracji, co omija skonfigurowane zabezpieczenia transportu migracji dla tych żądań LFS.

Podatność w Gitea przed wersją 1.25.5 nieprawidłowo przechowuje metodę wyzwania PKCE S256 podczas autoryzacji OAuth2, co umożliwia wymianę tokena bez wymaganego sprawdzenia weryfikatora.

Podatność w Gitea przed wersją 1.25.5 pozwala na ponowne użycie wygasłych lub jednorazowych kodów autoryzacyjnych OAuth2 podczas wymiany na token. Brak spójnego egzekwowania wygaśnięcia i jednorazowości kodów może prowadzić do nieautoryzowanego dostępu.

Podatność w Gitea przed wersją 1.25.5 nieprawidłowo obsługuje rozpoznawanie ścieżek podczas generowania repozytorium z szablonu, co pozwala na odczyt lub zapis przez dowiązania symboliczne lub inne nieregularne ścieżki.

Podatność CVE-2026-22874 dotyczy Gitea w wersjach do 1.26.2 włącznie. Mechanizm ochrony przed SSRF (Server-Side Request Forgery) w filtrach list dozwolonych dla webhooków i migracji jest niekompletny, co może umożliwić atakującemu wykonanie nieautoryzowanych żądań do wewnętrznych zasobów sieciowych.

W Gitea przed wersją 1.25.5 brakuje walidacji ograniczeń dla pól tworzenia repozytorium, w tym pól szablonów z limitem długości oraz wartości modelu zaufania lub formatu obiektu.

Obraz Dockera Gitea w wersjach do 1.26.2 domyślnie ustawia zmienną REVERSE_PROXY_TRUSTED_PROXIES=*, co pozwala dowolnemu źródłowemu adresowi IP podszyć się pod użytkownika, gdy włączone są nagłówki uwierzytelniania reverse proxy, takie jak X-WEBAUTH-USER.

Podatność w Gitea do wersji 1.26.1 włącznie umożliwia pobieranie archiwów repozytoriów z pominięciem kontroli zakresu tokena na punkcie końcowym pobierania archiwów przez WWW.

Podatność w Gitea umożliwia nieprawidłową walidację własności repozytorium podczas łączenia załączników z wydaniami. Załącznik przesłany do prywatnego repozytorium może zostać powiązany z wydaniem w innym publicznym repozytorium, co udostępnia go nieautoryzowanym użytkownikom.

Gitea nieprawidłowo weryfikuje własność repozytorium podczas usuwania blokad Git LFS. Użytkownik z prawem zapisu do jednego repozytorium może usunąć blokady LFS należące do innych repozytoriów.

Gitea nieprawidłowo weryfikuje własność projektu w operacjach na projektach organizacji. Użytkownik z uprawnieniami do zapisu w projekcie w jednej organizacji może modyfikować projekty należące do innej organizacji.

Nieograniczone metadane plików pakietów Arch mogą powodować amplifikację zasobów podczas przesyłania pakietów w Gitea.

Nagłówek autoryzacji webhooka jest zwracany w postaci zwykłego tekstu przez API.

Poprawka ClearRepoWatches nie została zastosowana do ścieżki API EditRepo — siostrzana ścieżka kodu zachowuje nieaktualne obserwacje przy zmianie repozytorium z publicznego na prywatne.

Ujawnienie istnienia prywatnego repozytorium przez punkt końcowy go-get Meta.

Oracle enumeracji identyfikatorów etykiet między repozytoriami przez nieograniczone API DeleteIssueLabel.

Obejście egzekwowania zakresu osobistego tokena dostępu na stronie głównej repozytorium (`GET /{owner}/{repo}`) ujawnia zawartość prywatnego repozytorium.

SSRF w migracji repozytorium przez obejście listy dozwolonych DNS z wieloma odpowiedziami.

SSRF w restore-repo przez nieoczyszczony Head.CloneURL w pull_request.yml.

Webhooki utworzone przez współpracownika nadal działają po cofnięciu mu dostępu do repozytorium, co umożliwia ciągłą eksfiltrację zawartości prywatnego repozytorium w czasie rzeczywistym. Problem wynika z niepełnego usuwania uprawnień w funkcji `DeleteCollaboration`.

Ochrona gałęzi może zostać ominięta poprzez zmianę celu pull requesta, co pozwala zachować nieaktualną flagę zatwierdzenia `official`. Umożliwia to wprowadzanie zmian do chronionych gałęzi bez wymaganego zatwierdzenia.

Międzyrepozytoryjna podatność IDOR w usuwaniu zależności problemu (issue-dependency) pozwala atakującemu manipulować i komentować prywatne repozytoria, do których nie ma dostępu. Brakuje odpowiedniej autoryzacji na poziomie obiektu.

Podatność umożliwia manipulację widocznością repozytorium poprzez opcje push w Git. Atakujący może zmienić widoczność repozytorium (np. z prywatnego na publiczne) bez odpowiednich uprawnień.

Funkcja ParseAcceptLanguage w oprogramowaniu pośredniczącym Locale powoduje atak DoS o złożoności kwadratowej na nieuwierzytelnionych żądaniach. Wysyłanie specjalnie spreparowanych nagłówków Accept-Language może przeciążyć serwer.

Podatność w Gitea LFS umożliwia eskalację uprawnień za pomocą kluczy wdrożeniowych (deploy keys). Osoba posiadająca klucz wdrożeniowy może uzyskać wyższe uprawnienia niż zamierzono.

Metadane prywatnego repozytorium pozostają dostępne po cofnięciu dostępu użytkownikowi. Oznacza to, że informacje o repozytorium (np. nazwa, opis) mogą być nadal widoczne dla osób, które utraciły uprawnienia.

W kodzie code.gitea.io/gitea występuje brak autoryzacji oraz obejście autoryzacji poprzez kontrolowany przez użytkownika klucz, nieprawidłowe przypisanie uprawnień do krytycznych zasobów oraz ujawnienie wrażliwych informacji nieupoważnionemu aktorowi.

Ograniczenie tokenów API tylko do publicznych zasobów nie jest egzekwowane na trasach API zespołów. Oznacza to, że token przeznaczony tylko do publicznego dostępu może uzyskać dostęp do danych zespołów, które powinny być prywatne.

Podatność umożliwia obejście zakresu osobistych tokenów dostępu typu public-only w punktach końcowych organizacji i uprawnień. Oznacza to, że token przeznaczony tylko do operacji publicznych może uzyskać dostęp do operacji wymagających szerszych uprawnień.

Podatność umożliwia obejście listy dozwolonych rozszerzeń dla załączników wydań poprzez formularz edycji wydania w przeglądarce. Jest to wariant wcześniejszej podatności CVE-2025-68939.

Podatność powoduje wyciek listy członków prywatnej organizacji przez punkt końcowy /members API. Jest to niekompletna poprawka dla PR #38145.

Podatność w introspekcji tokenów OAuth powoduje zwracanie metadanych tokenów wydanych innym klientom, co narusza sekcję 4 specyfikacji RFC 7662.

Podatność umożliwia lokalne włączenie pliku (Local File Inclusion) poprzez użycie URI file:// w funkcji przywracania migracji. Atakujący może odczytać dowolne pliki z systemu plików serwera.

Podatność w REST API ujawnia publicznie członkostwo w organizacjach prywatnych. Osoby nieuprawnione mogą uzyskać informacje o członkach prywatnych organizacji.

Podatność w zadaniach Actions dla pull requestów z forka umożliwia odczyt trzeciego prywatnego repozytorium poprzez gałąź collaborative-owner. Brakuje zabezpieczenia dla fork-PR.

W Gitea 1.26.2 znaleziono dwie podatności typu Server-Side Request Forgery (SSRF). Umożliwiają one atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów.

Podatność umożliwia ujawnienie informacji między repozytoriami poprzez API Actions na poziomie organizacji (Run/Job APIs). Atakujący może uzyskać dane z innych repozytoriów.

Podatność w migracji repozytoriów pozwala na podążanie za przekierowaniami HTTP Git po walidacji URL (allow/block), co umożliwia eksfiltrację wewnętrznych repozytoriów Git.

Podatność umożliwia ponowne powiązanie załączników do zgłoszeń/komentarzy między repozytoriami, co może ujawnić treść prywatnych załączników.