Podatności Gitea

Podatność w Gitea LFS umożliwia eskalację uprawnień za pomocą kluczy wdrożeniowych (deploy keys). Osoba posiadająca klucz wdrożeniowy może uzyskać wyższe uprawnienia niż zamierzono.

Metadane prywatnego repozytorium pozostają dostępne po cofnięciu dostępu użytkownikowi. Oznacza to, że informacje o repozytorium (np. nazwa, opis) mogą być nadal widoczne dla osób, które utraciły uprawnienia.

W kodzie code.gitea.io/gitea występuje brak autoryzacji oraz obejście autoryzacji poprzez kontrolowany przez użytkownika klucz, nieprawidłowe przypisanie uprawnień do krytycznych zasobów oraz ujawnienie wrażliwych informacji nieupoważnionemu aktorowi.

Ograniczenie tokenów API tylko do publicznych zasobów nie jest egzekwowane na trasach API zespołów. Oznacza to, że token przeznaczony tylko do publicznego dostępu może uzyskać dostęp do danych zespołów, które powinny być prywatne.

Podatność umożliwia obejście zakresu osobistych tokenów dostępu typu public-only w punktach końcowych organizacji i uprawnień. Oznacza to, że token przeznaczony tylko do operacji publicznych może uzyskać dostęp do operacji wymagających szerszych uprawnień.

Podatność umożliwia obejście listy dozwolonych rozszerzeń dla załączników wydań poprzez formularz edycji wydania w przeglądarce. Jest to wariant wcześniejszej podatności CVE-2025-68939.

Podatność powoduje wyciek listy członków prywatnej organizacji przez punkt końcowy /members API. Jest to niekompletna poprawka dla PR #38145.

Podatność w introspekcji tokenów OAuth powoduje zwracanie metadanych tokenów wydanych innym klientom, co narusza sekcję 4 specyfikacji RFC 7662.

Podatność umożliwia lokalne włączenie pliku (Local File Inclusion) poprzez użycie URI file:// w funkcji przywracania migracji. Atakujący może odczytać dowolne pliki z systemu plików serwera.

Podatność w REST API ujawnia publicznie członkostwo w organizacjach prywatnych. Osoby nieuprawnione mogą uzyskać informacje o członkach prywatnych organizacji.

Podatność w zadaniach Actions dla pull requestów z forka umożliwia odczyt trzeciego prywatnego repozytorium poprzez gałąź collaborative-owner. Brakuje zabezpieczenia dla fork-PR.

W Gitea 1.26.2 znaleziono dwie podatności typu Server-Side Request Forgery (SSRF). Umożliwiają one atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów.

Podatność umożliwia ujawnienie informacji między repozytoriami poprzez API Actions na poziomie organizacji (Run/Job APIs). Atakujący może uzyskać dane z innych repozytoriów.

Podatność w migracji repozytoriów pozwala na podążanie za przekierowaniami HTTP Git po walidacji URL (allow/block), co umożliwia eksfiltrację wewnętrznych repozytoriów Git.

Podatność umożliwia ponowne powiązanie załączników do zgłoszeń/komentarzy między repozytoriami, co może ujawnić treść prywatnych załączników.

Podatność powoduje odmowę usługi (wyczerpanie CPU i pamięci) przez złożoność O(N^2) przy konkatenacji stringów podczas przesyłania pakietów Debiana.

Parser kluczy SSH w Gitea jest podatny na odmowę usługi, co może prowadzić do przeciążenia systemu.

Logowanie przez OAuth2 może reaktywować konto dezaktywowane przez administratora, jeśli źródło autoryzacji nie używa tokenów odświeżania (niepełna poprawka #38009).

API zarządzania e-mailami omija ograniczenia funkcji ManageCredentials, umożliwiając nieautoryzowane operacje na adresach e-mail.

Odwołanie do wskaźnika null w API AddTime powoduje uwierzytelnioną odmowę usługi.

Gitea przed wersją 1.27.0 zawiera podatność typu Server-Side Request Forgery (SSRF), która pozwala uwierzytelnionym atakującym ominąć zabezpieczenia SSRF i uzyskać dostęp do wewnętrznych usług, endpointów metadanych instancji chmurowych lub odczytać lokalne pliki, takie jak konfiguracja aplikacji z danymi uwierzytelniającymi bazy danych i kluczami podpisywania. Atakujący mogą wykorzystać operacje pobierania HTTP w kodzie migracji i awatarów OAuth.

Podatność w Gitea do wersji 1.26.1 włącznie umożliwia pominięcie kontroli zakresu tokena repozytorium dla uwierzytelnionych żądań Git smart HTTP z tokenami typu bearer.

Podatność w Gitea do wersji 1.26.2 włącznie umożliwia ponowne wykorzystanie obiektów Git LFS, co pozwala użytkownikom z dostępem do repozytorium, ale bez dostępu do jednostek kodu, na autoryzację prywatnych obiektów źródłowych.

Podatność w Gitea umożliwia przechowywany atak XSS przez pole extensionsRequired w plikach glTF renderowanych przez przeglądarkę 3D. Dotyczy wersji od 1.25.0 do 1.26.0.

Podatność w Gitea przed wersją 1.25.5 pozwala na manipulację ścieżkami plików podczas zrzutu zasobów wydania poprzez specjalnie spreparowane nazwy tagów i zasobów.

Podatność w Gitea do wersji 1.26.1 włącznie umożliwia ominięcie egzekwowania zakresu tokena dostępu OAuth2 poprzez uwierzytelnianie HTTP Basic.

Podatność w Gitea do wersji 1.26.1 włącznie nie wymusza autoryzacji dostępu do jednostek repozytorium na punktach końcowych API szablonów zgłoszeń. Oznacza to, że nieautoryzowani użytkownicy mogą uzyskać dostęp do wrażliwych danych lub funkcji związanych z szablonami zgłoszeń.

Gitea w wersjach przed 1.25.5 akceptuje nieprawidłowe lub wstrzyknięte wartości forwarded-proto podczas wykrywania publicznych adresów URL, co umożliwia fałszowanie kanonicznych adresów URL.

W Gitea 1.25.5 wynik sprawdzenia uprawnień do zapisu dla konkretnej gałęzi jest buforowany w ramach jednej sesji haka pre-receive. Pozwala to na ponowne użycie przyznanego dostępu edycyjnego dla opiekuna gałęzi do innych referencji, co prowadzi do eskalacji uprawnień do pełnego zapisu w repozytorium.

Podatność w Gitea do wersji 1.26.2 włącznie umożliwia pominięcie kontroli zakresu tokenów API przez punkty końcowe kanałów RSS i Atom repozytorium, co prowadzi do ujawnienia danych commitów z prywatnych repozytoriów tokenom bez wymaganego zakresu repozytorium.

Podatność w Gitea przed wersją 1.25.5 umożliwia dostęp do danych lub załączników wersji roboczych (draft release) bez wymaganych uprawnień do zapisu.

Podatność w Gitea przed wersją 1.25.5 umożliwia użytkownikowi zmianę głównego adresu e-mail innego użytkownika. Problem wynika z braku odpowiedniej walidacji uprawnień podczas modyfikacji danych konta.

Gitea w wersjach przed 1.25.5 nie wymusza limitu czasu na wyszukiwania git grep, co pozwala na kosztowne obliczeniowo zapytania, które mogą przeciążyć serwer.

Podatność w Gitea do wersji 1.26.1 włącznie umożliwia użytkownikom z uprawnieniem 'Allow edits from maintainers' zatwierdzanie zmian w repozytoriach, do których mają dostęp tylko do odczytu, ale nie powinni mieć prawa zapisu.

W Gitea przed wersją 1.25.5 wyszukiwanie wpisów śledzonego czasu według identyfikatora czasu nie ogranicza wyszukiwania do zgłoszenia z żądania URL, co umożliwia próby usunięcia wpisów z innego zgłoszenia.

Podatność w Gitea do wersji 1.25.4 włącznie umożliwia obejście mechanizmu przekierowań poprzez użycie surowych lub zakodowanych procentowo ukośników wstecznych w parametrze redirect_to.

Podatność w Gitea do wersji 1.26.1 włącznie powoduje niespójne filtrowanie tokenów publicznych w API organizacji użytkownika, co pozostawia niekompletną poprawkę dla CVE-2025-68941.

W Gitea przed wersją 1.25.5 wykryto brak wystarczających kontroli widoczności w interfejsach API uprawnień organizacji, co umożliwia ujawnienie ukrytych członków oraz prywatnych organizacji.

W Gitea 1.26.2 nieautoryzowani użytkownicy mogą uzyskać dostęp do etykiet prywatnych organizacji. Podatność ta umożliwia wyciek informacji o etykietach, które powinny być dostępne tylko dla członków organizacji.

W Gitea przed wersją 1.25.5 występuje podatność polegająca na niewystarczającym sprawdzaniu uprawnień podczas aktualizacji lub przebazowywania gałęzi żądań pull.

Podatność w Gitea 1.26.2 umożliwia kontynuację synchronizacji forka po zmianie repozytorium nadrzędnego z publicznego na prywatne, co prowadzi do nieautoryzowanego dostępu do danych.

Podatność w Gitea przed wersją 1.26.0 umożliwia użytkownikom API forkowanie repozytorium do organizacji bez przejścia kontroli CanCreateOrgRepo, co może ujawnić tajemnice organizacji.

Wersje Gitea przed 1.25.5 mają niewystarczające sprawdzanie uprawnień podczas wyświetlania listy wpisów czasu śledzonego. Oznacza to, że użytkownicy mogą uzyskać dostęp do danych czasowych innych użytkowników bez odpowiednich uprawnień.

Podatność w Gitea w wersjach od 1.5.0 do 1.26.2 pozwala na wielokrotne użycie tego samego kodu TOTP w procesie uwierzytelniania dwuskładnikowego przez web oraz Basic Auth z nagłówkiem X-Gitea-OTP.

Podatność w Gitea umożliwia użytkownikowi usunięcie załącznika z repozytorium, do którego utracił dostęp, poprzez wykonanie żądania przez inne repozytorium, do którego ma dostęp. Problem wynika z nieprawidłowej weryfikacji kontekstu repozytorium podczas usuwania załączników.

W Gitea przed wersją 1.20.1 można użyć zabronionego schematu URL, takiego jak javascript:, w linku, co prowadzi do XSS.

W Gitea w wersjach przed 1.21.2 anonimowy użytkownik może odwiedzić projekt prywatnego użytkownika. Luka narusza prywatność i może prowadzić do nieautoryzowanego dostępu do informacji.

Gitea przed wersją 1.22.2 nieprawidłowo obsługuje propagację zakresu tokena do kontroli dostępu w jednym z własnych rejestrów pakietów.

Gitea w wersjach przed 1.21.8 nieumyślnie ujawnia czasy logowania użytkowników, na przykład poprzez sortowanie explore/users według lastlogintime. Luka może pozwolić na śledzenie aktywności użytkowników.

Gitea przed wersją 1.22.2 pozwala na XSS, ponieważ pole wyszukiwania (do tworzenia tagów i gałęzi) używa v-html zamiast v-text.