CVE-2026-58440
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Webhooki utworzone przez współpracownika nadal działają po cofnięciu mu dostępu do repozytorium, co umożliwia ciągłą eksfiltrację zawartości prywatnego repozytorium w czasie rzeczywistym. Problem wynika z niepełnego usuwania uprawnień w funkcji `DeleteCollaboration`.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych danych z prywatnych repozytoriów, nawet po odebraniu dostępu byłemu współpracownikowi. Może to prowadzić do naruszenia poufności i utraty kontroli nad danymi.
Rekomendacja
Należy natychmiast zaktualizować Gitea do wersji zawierającej poprawkę oraz zweryfikować, czy wszystkie webhooki powiązane z usuniętymi współpracownikami zostały wyłączone. Dodatkowo warto przeprowadzić audyt aktywności webhooków.
Oryginalny opis (angielski, źródło NVD)
Webhooks created by a collaborator keep firing after their repo access is revoked → ongoing real-time exfiltration of private repo content (incomplete revocation cleanup in `DeleteCollaboration`)