Katalog podatności CVE

Nagłówek autoryzacji webhooka jest zwracany w postaci zwykłego tekstu przez API.

Poprawka ClearRepoWatches nie została zastosowana do ścieżki API EditRepo — siostrzana ścieżka kodu zachowuje nieaktualne obserwacje przy zmianie repozytorium z publicznego na prywatne.

Dwie podatności SSRF w migracji/mirrorowaniu Gitea (DNS rebinding + brak ponownej walidacji).

Ujawnienie istnienia prywatnego repozytorium przez punkt końcowy go-get Meta.

Oracle enumeracji identyfikatorów etykiet między repozytoriami przez nieograniczone API DeleteIssueLabel.

Obejście egzekwowania zakresu osobistego tokena dostępu na stronie głównej repozytorium (`GET /{owner}/{repo}`) ujawnia zawartość prywatnego repozytorium.

Tokeny repozytorium tylko do odczytu mogą aktualizować prywatne gałęzie head PR.

SSRF w migracji repozytorium przez obejście listy dozwolonych DNS z wieloma odpowiedziami.

SSRF w restore-repo przez nieoczyszczony Head.CloneURL w pull_request.yml.

Webhooki utworzone przez współpracownika nadal działają po cofnięciu mu dostępu do repozytorium, co umożliwia ciągłą eksfiltrację zawartości prywatnego repozytorium w czasie rzeczywistym. Problem wynika z niepełnego usuwania uprawnień w funkcji `DeleteCollaboration`.

Ochrona gałęzi może zostać ominięta poprzez zmianę celu pull requesta, co pozwala zachować nieaktualną flagę zatwierdzenia `official`. Umożliwia to wprowadzanie zmian do chronionych gałęzi bez wymaganego zatwierdzenia.

Międzyrepozytoryjna podatność IDOR w usuwaniu zależności problemu (issue-dependency) pozwala atakującemu manipulować i komentować prywatne repozytoria, do których nie ma dostępu. Brakuje odpowiedniej autoryzacji na poziomie obiektu.

Podatność umożliwia manipulację widocznością repozytorium poprzez opcje push w Git. Atakujący może zmienić widoczność repozytorium (np. z prywatnego na publiczne) bez odpowiednich uprawnień.

Funkcja ParseAcceptLanguage w oprogramowaniu pośredniczącym Locale powoduje atak DoS o złożoności kwadratowej na nieuwierzytelnionych żądaniach. Wysyłanie specjalnie spreparowanych nagłówków Accept-Language może przeciążyć serwer.

Podatność w Gitea LFS umożliwia eskalację uprawnień za pomocą kluczy wdrożeniowych (deploy keys). Osoba posiadająca klucz wdrożeniowy może uzyskać wyższe uprawnienia niż zamierzono.

Metadane prywatnego repozytorium pozostają dostępne po cofnięciu dostępu użytkownikowi. Oznacza to, że informacje o repozytorium (np. nazwa, opis) mogą być nadal widoczne dla osób, które utraciły uprawnienia.

Endpoint łączący repozytorium z zespołem omija ustawienie organizacji RepoAdminChangeTeamAccess. Oznacza to, że użytkownik bez odpowiednich uprawnień może zmienić przypisanie repozytorium do zespołu.

W kodzie code.gitea.io/gitea występuje brak autoryzacji oraz obejście autoryzacji poprzez kontrolowany przez użytkownika klucz, nieprawidłowe przypisanie uprawnień do krytycznych zasobów oraz ujawnienie wrażliwych informacji nieupoważnionemu aktorowi.

Ograniczenie tokenów API tylko do publicznych zasobów nie jest egzekwowane na trasach API zespołów. Oznacza to, że token przeznaczony tylko do publicznego dostępu może uzyskać dostęp do danych zespołów, które powinny być prywatne.

Podatność umożliwia obejście zakresu osobistych tokenów dostępu typu public-only w punktach końcowych organizacji i uprawnień. Oznacza to, że token przeznaczony tylko do operacji publicznych może uzyskać dostęp do operacji wymagających szerszych uprawnień.