Podatności Gitea

Podatność powoduje odmowę usługi (wyczerpanie CPU i pamięci) przez złożoność O(N^2) przy konkatenacji stringów podczas przesyłania pakietów Debiana.

Parser kluczy SSH w Gitea jest podatny na odmowę usługi, co może prowadzić do przeciążenia systemu.

Logowanie przez OAuth2 może reaktywować konto dezaktywowane przez administratora, jeśli źródło autoryzacji nie używa tokenów odświeżania (niepełna poprawka #38009).

API zarządzania e-mailami omija ograniczenia funkcji ManageCredentials, umożliwiając nieautoryzowane operacje na adresach e-mail.

Odwołanie do wskaźnika null w API AddTime powoduje uwierzytelnioną odmowę usługi.

Gitea przed wersją 1.27.0 zawiera podatność typu Server-Side Request Forgery (SSRF), która pozwala uwierzytelnionym atakującym ominąć zabezpieczenia SSRF i uzyskać dostęp do wewnętrznych usług, endpointów metadanych instancji chmurowych lub odczytać lokalne pliki, takie jak konfiguracja aplikacji z danymi uwierzytelniającymi bazy danych i kluczami podpisywania. Atakujący mogą wykorzystać operacje pobierania HTTP w kodzie migracji i awatarów OAuth.

Podatność w Gitea do wersji 1.26.1 włącznie umożliwia pominięcie kontroli zakresu tokena repozytorium dla uwierzytelnionych żądań Git smart HTTP z tokenami typu bearer.

Podatność w Gitea do wersji 1.26.2 włącznie umożliwia ponowne wykorzystanie obiektów Git LFS, co pozwala użytkownikom z dostępem do repozytorium, ale bez dostępu do jednostek kodu, na autoryzację prywatnych obiektów źródłowych.

Podatność w Gitea umożliwia przechowywany atak XSS przez pole extensionsRequired w plikach glTF renderowanych przez przeglądarkę 3D. Dotyczy wersji od 1.25.0 do 1.26.0.

Podatność w Gitea przed wersją 1.25.5 pozwala na manipulację ścieżkami plików podczas zrzutu zasobów wydania poprzez specjalnie spreparowane nazwy tagów i zasobów.

Podatność w Gitea do wersji 1.26.1 włącznie umożliwia ominięcie egzekwowania zakresu tokena dostępu OAuth2 poprzez uwierzytelnianie HTTP Basic.

Podatność w Gitea do wersji 1.26.1 włącznie nie wymusza autoryzacji dostępu do jednostek repozytorium na punktach końcowych API szablonów zgłoszeń. Oznacza to, że nieautoryzowani użytkownicy mogą uzyskać dostęp do wrażliwych danych lub funkcji związanych z szablonami zgłoszeń.

Gitea w wersjach przed 1.25.5 akceptuje nieprawidłowe lub wstrzyknięte wartości forwarded-proto podczas wykrywania publicznych adresów URL, co umożliwia fałszowanie kanonicznych adresów URL.

W Gitea 1.25.5 wynik sprawdzenia uprawnień do zapisu dla konkretnej gałęzi jest buforowany w ramach jednej sesji haka pre-receive. Pozwala to na ponowne użycie przyznanego dostępu edycyjnego dla opiekuna gałęzi do innych referencji, co prowadzi do eskalacji uprawnień do pełnego zapisu w repozytorium.

Podatność w Gitea do wersji 1.26.2 włącznie umożliwia pominięcie kontroli zakresu tokenów API przez punkty końcowe kanałów RSS i Atom repozytorium, co prowadzi do ujawnienia danych commitów z prywatnych repozytoriów tokenom bez wymaganego zakresu repozytorium.

Podatność w Gitea przed wersją 1.25.5 umożliwia dostęp do danych lub załączników wersji roboczych (draft release) bez wymaganych uprawnień do zapisu.

Podatność w Gitea przed wersją 1.25.5 umożliwia użytkownikowi zmianę głównego adresu e-mail innego użytkownika. Problem wynika z braku odpowiedniej walidacji uprawnień podczas modyfikacji danych konta.

Gitea w wersjach przed 1.25.5 nie wymusza limitu czasu na wyszukiwania git grep, co pozwala na kosztowne obliczeniowo zapytania, które mogą przeciążyć serwer.

Podatność w Gitea do wersji 1.26.1 włącznie umożliwia użytkownikom z uprawnieniem 'Allow edits from maintainers' zatwierdzanie zmian w repozytoriach, do których mają dostęp tylko do odczytu, ale nie powinni mieć prawa zapisu.

W Gitea przed wersją 1.25.5 wyszukiwanie wpisów śledzonego czasu według identyfikatora czasu nie ogranicza wyszukiwania do zgłoszenia z żądania URL, co umożliwia próby usunięcia wpisów z innego zgłoszenia.

Podatność w Gitea do wersji 1.25.4 włącznie umożliwia obejście mechanizmu przekierowań poprzez użycie surowych lub zakodowanych procentowo ukośników wstecznych w parametrze redirect_to.

Podatność w Gitea do wersji 1.26.1 włącznie powoduje niespójne filtrowanie tokenów publicznych w API organizacji użytkownika, co pozostawia niekompletną poprawkę dla CVE-2025-68941.

W Gitea przed wersją 1.25.5 wykryto brak wystarczających kontroli widoczności w interfejsach API uprawnień organizacji, co umożliwia ujawnienie ukrytych członków oraz prywatnych organizacji.

W Gitea 1.26.2 nieautoryzowani użytkownicy mogą uzyskać dostęp do etykiet prywatnych organizacji. Podatność ta umożliwia wyciek informacji o etykietach, które powinny być dostępne tylko dla członków organizacji.

W Gitea przed wersją 1.25.5 występuje podatność polegająca na niewystarczającym sprawdzaniu uprawnień podczas aktualizacji lub przebazowywania gałęzi żądań pull.

Podatność w Gitea 1.26.2 umożliwia kontynuację synchronizacji forka po zmianie repozytorium nadrzędnego z publicznego na prywatne, co prowadzi do nieautoryzowanego dostępu do danych.

Podatność w Gitea przed wersją 1.26.0 umożliwia użytkownikom API forkowanie repozytorium do organizacji bez przejścia kontroli CanCreateOrgRepo, co może ujawnić tajemnice organizacji.

Wersje Gitea przed 1.25.5 mają niewystarczające sprawdzanie uprawnień podczas wyświetlania listy wpisów czasu śledzonego. Oznacza to, że użytkownicy mogą uzyskać dostęp do danych czasowych innych użytkowników bez odpowiednich uprawnień.

Podatność w Gitea w wersjach od 1.5.0 do 1.26.2 pozwala na wielokrotne użycie tego samego kodu TOTP w procesie uwierzytelniania dwuskładnikowego przez web oraz Basic Auth z nagłówkiem X-Gitea-OTP.

Podatność w Gitea umożliwia użytkownikowi usunięcie załącznika z repozytorium, do którego utracił dostęp, poprzez wykonanie żądania przez inne repozytorium, do którego ma dostęp. Problem wynika z nieprawidłowej weryfikacji kontekstu repozytorium podczas usuwania załączników.