Podatności Gitea

Gitea przed wersją 1.27.0 zawiera podatność typu Server-Side Request Forgery (SSRF), która pozwala uwierzytelnionym atakującym ominąć zabezpieczenia SSRF i uzyskać dostęp do wewnętrznych usług, endpointów metadanych instancji chmurowych lub odczytać lokalne pliki, takie jak konfiguracja aplikacji z danymi uwierzytelniającymi bazy danych i kluczami podpisywania. Atakujący mogą wykorzystać operacje pobierania HTTP w kodzie migracji i awatarów OAuth.

Podatność w Gitea do wersji 1.26.1 włącznie umożliwia pominięcie kontroli zakresu tokena repozytorium dla uwierzytelnionych żądań Git smart HTTP z tokenami typu bearer.

Podatność w Gitea do wersji 1.26.2 włącznie umożliwia ponowne wykorzystanie obiektów Git LFS, co pozwala użytkownikom z dostępem do repozytorium, ale bez dostępu do jednostek kodu, na autoryzację prywatnych obiektów źródłowych.

Podatność w Gitea umożliwia przechowywany atak XSS przez pole extensionsRequired w plikach glTF renderowanych przez przeglądarkę 3D. Dotyczy wersji od 1.25.0 do 1.26.0.

Podatność w Gitea przed wersją 1.25.5 pozwala na manipulację ścieżkami plików podczas zrzutu zasobów wydania poprzez specjalnie spreparowane nazwy tagów i zasobów.

Podatność w Gitea do wersji 1.26.1 włącznie umożliwia ominięcie egzekwowania zakresu tokena dostępu OAuth2 poprzez uwierzytelnianie HTTP Basic.

Podatność w Gitea do wersji 1.26.1 włącznie nie wymusza autoryzacji dostępu do jednostek repozytorium na punktach końcowych API szablonów zgłoszeń. Oznacza to, że nieautoryzowani użytkownicy mogą uzyskać dostęp do wrażliwych danych lub funkcji związanych z szablonami zgłoszeń.

Gitea w wersjach przed 1.25.5 akceptuje nieprawidłowe lub wstrzyknięte wartości forwarded-proto podczas wykrywania publicznych adresów URL, co umożliwia fałszowanie kanonicznych adresów URL.

W Gitea 1.25.5 wynik sprawdzenia uprawnień do zapisu dla konkretnej gałęzi jest buforowany w ramach jednej sesji haka pre-receive. Pozwala to na ponowne użycie przyznanego dostępu edycyjnego dla opiekuna gałęzi do innych referencji, co prowadzi do eskalacji uprawnień do pełnego zapisu w repozytorium.

Podatność w Gitea do wersji 1.26.1 włącznie wynika z niewystarczającego sprawdzania uprawnień dla linków źródłowych pakietów Composer. Może to prowadzić do ujawnienia informacji o prywatnych lub wewnętrznych źródłach pakietów.

Podatność w Gitea do wersji 1.26.2 włącznie umożliwia pominięcie kontroli zakresu tokenów API przez punkty końcowe kanałów RSS i Atom repozytorium, co prowadzi do ujawnienia danych commitów z prywatnych repozytoriów tokenom bez wymaganego zakresu repozytorium.

Podatność w Gitea przed wersją 1.25.5 umożliwia dostęp do danych lub załączników wersji roboczych (draft release) bez wymaganych uprawnień do zapisu.

Podatność w Gitea przed wersją 1.25.5 umożliwia użytkownikowi zmianę głównego adresu e-mail innego użytkownika. Problem wynika z braku odpowiedniej walidacji uprawnień podczas modyfikacji danych konta.

Gitea w wersjach przed 1.25.5 nie wymusza limitu czasu na wyszukiwania git grep, co pozwala na kosztowne obliczeniowo zapytania, które mogą przeciążyć serwer.

Podatność w Gitea do wersji 1.26.1 włącznie umożliwia użytkownikom z uprawnieniem 'Allow edits from maintainers' zatwierdzanie zmian w repozytoriach, do których mają dostęp tylko do odczytu, ale nie powinni mieć prawa zapisu.

W Gitea przed wersją 1.25.5 wyszukiwanie wpisów śledzonego czasu według identyfikatora czasu nie ogranicza wyszukiwania do zgłoszenia z żądania URL, co umożliwia próby usunięcia wpisów z innego zgłoszenia.

Podatność w Gitea do wersji 1.25.4 włącznie umożliwia obejście mechanizmu przekierowań poprzez użycie surowych lub zakodowanych procentowo ukośników wstecznych w parametrze redirect_to.

Podatność w Gitea do wersji 1.26.1 włącznie powoduje niespójne filtrowanie tokenów publicznych w API organizacji użytkownika, co pozostawia niekompletną poprawkę dla CVE-2025-68941.

W Gitea przed wersją 1.25.5 wykryto brak wystarczających kontroli widoczności w interfejsach API uprawnień organizacji, co umożliwia ujawnienie ukrytych członków oraz prywatnych organizacji.

W Gitea 1.26.2 nieautoryzowani użytkownicy mogą uzyskać dostęp do etykiet prywatnych organizacji. Podatność ta umożliwia wyciek informacji o etykietach, które powinny być dostępne tylko dla członków organizacji.

W Gitea przed wersją 1.25.5 występuje podatność polegająca na niewystarczającym sprawdzaniu uprawnień podczas aktualizacji lub przebazowywania gałęzi żądań pull.

Podatność w Gitea 1.26.2 umożliwia kontynuację synchronizacji forka po zmianie repozytorium nadrzędnego z publicznego na prywatne, co prowadzi do nieautoryzowanego dostępu do danych.

Podatność w Gitea przed wersją 1.26.0 umożliwia użytkownikom API forkowanie repozytorium do organizacji bez przejścia kontroli CanCreateOrgRepo, co może ujawnić tajemnice organizacji.

Wersje Gitea przed 1.25.5 mają niewystarczające sprawdzanie uprawnień podczas wyświetlania listy wpisów czasu śledzonego. Oznacza to, że użytkownicy mogą uzyskać dostęp do danych czasowych innych użytkowników bez odpowiednich uprawnień.

Podatność w Gitea w wersjach od 1.5.0 do 1.26.2 pozwala na wielokrotne użycie tego samego kodu TOTP w procesie uwierzytelniania dwuskładnikowego przez web oraz Basic Auth z nagłówkiem X-Gitea-OTP.

Podatność w Gitea umożliwia użytkownikowi usunięcie załącznika z repozytorium, do którego utracił dostęp, poprzez wykonanie żądania przez inne repozytorium, do którego ma dostęp. Problem wynika z nieprawidłowej weryfikacji kontekstu repozytorium podczas usuwania załączników.

W Gitea przed wersją 1.25.2 endpoint /api/v1/user zwraca różne odpowiedzi dla nieudanej autoryzacji w zależności od tego, czy nazwa użytkownika istnieje.

W Gitea przed wersją 1.20.1 można użyć zabronionego schematu URL, takiego jak javascript:, w linku, co prowadzi do XSS.

W Gitea w wersjach przed 1.21.2 anonimowy użytkownik może odwiedzić projekt prywatnego użytkownika. Luka narusza prywatność i może prowadzić do nieautoryzowanego dostępu do informacji.

Gitea przed wersją 1.22.2 nieprawidłowo obsługuje propagację zakresu tokena do kontroli dostępu w jednym z własnych rejestrów pakietów.

Gitea w wersjach przed 1.21.8 nieumyślnie ujawnia czasy logowania użytkowników, na przykład poprzez sortowanie explore/users według lastlogintime. Luka może pozwolić na śledzenie aktywności użytkowników.

Gitea przed wersją 1.22.2 pozwala na XSS, ponieważ pole wyszukiwania (do tworzenia tagów i gałęzi) używa v-html zamiast v-text.

Gitea przed wersją 1.22.3 nieprawidłowo obsługuje dostęp do prywatnych zasobów po otrzymaniu tokena API z zakresem ograniczonym do zasobów publicznych.

W Gitea przed wersją 1.22.5 uprawnienia do usuwania gałęzi nie są odpowiednio egzekwowane po scaleniu pull requesta. Oznacza to, że użytkownik może usunąć gałąź, do której nie powinien mieć uprawnień.

W Gitea przed wersją 1.23.0 atakujący może dodać załączniki z zabronionymi rozszerzeniami plików poprzez edycję nazwy załącznika za pomocą API załączników.

Gitea w wersjach przed 1.25.2 nieprawidłowo obsługuje autoryzację przy usuwaniu wydań (releases). Luka może pozwolić nieuprawnionym użytkownikom na usunięcie wydań.