Katalog podatności CVE

Ścieżki wyszukiwania zgłoszeń w API i interfejsie webowym Gitea nie traktują kont o ograniczonym dostępie jako anonimowych przeglądających przy ocenie właścicieli repozytoriów o widoczności Limited. Użytkownik o ograniczonym dostępie może wyszukiwać i pobierać tytuły oraz treści zgłoszeń, które powinny być ukryte przez politykę widoczności właściciela. Dopasowanie słów kluczowych może również ujawnić, że ukryta treść zgłoszenia lub komentarze zawierają podany termin.

Handlery API Gitea do kanału aktywności i mapy cieplnej wkładu nie stosują sprawdzenia widoczności profilu dla kont o ograniczonym dostępie przeglądających użytkowników o widoczności Limited. Użytkownik o ograniczonym dostępie może pobrać zapisy aktywności i znaczniki czasu wkładu, których odmawiają odpowiadające ścieżki profilu. Ujawniona aktywność może obejmować nazwy repozytoriów, wiadomości commitów oraz zdarzenia zgłoszeń lub pull requestów powiązane z kwalifikującą się aktywnością w publicznych repozytoriach.

W Gitea, wymóg zatwierdzenia dla pierwszego kontrybutora z forka jest egzekwowany przez blokowanie zadań, ale niektóre ścieżki przejść i wysyłek nie sprawdzają ponownie wymogu zatwierdzenia. Osobne uruchomienie współdzielące grupę concurrency na poziomie zadania może anulować oczekujące zadanie i spowodować ponowne wyemitowanie i wysłanie zablokowanych zadań bez zatwierdzenia.

W Gitea przy zdarzeniach pull request workflow jest odczytywany z gałęzi źródłowej PR, a gdy filtry gałęzi lub ścieżek wykluczają wykonanie, publikowany jest syntetyczny status "skipped". Autor forka może dostarczyć workflow pasujący do wymaganego kontekstu statusu, ale celowo uniemożliwić jego uruchomienie, a status "skipped" jest liczony jako sukces.

API listy organizacji użytkownika w Gitea zwraca organizacje o ograniczonej widoczności dla uwierzytelnionych kont ograniczonych, nie stosując restrykcji widoczności wymuszanej przez endpoint pojedynczej organizacji. Ograniczony użytkownik może wylistować publiczne członkostwa w organizacjach znanego użytkownika oraz pobrać nazwy, opisy i awatary organizacji o ograniczonej widoczności.

Rejestr pakietów Gitea przyznaje uwierzytelnionym użytkownikom dostęp do odczytu pakietów należących do użytkowników o ograniczonej widoczności, nie wykluczając kont ograniczonych. Ograniczony użytkownik może wyliczyć i pobrać takie pakiety mimo polityki widoczności, która powinna to uniemożliwiać.

Ścieżka autoryzacji współwłaściciela w Gitea przy odczycie międzyrepozytoryjnych workflow wielokrotnego użytku nie wyklucza uruchomień z forków pull requestów. Zatwierdzony workflow z forka wskazujący na prywatne repozytorium może odczytać pliki workflow z innego prywatnego repozytorium, które ufa właścicielowi repozytorium bazowego.

Parser pakietów Swift w Gitea ogranicza każdy manifest do 128 KiB, ale nie ogranicza liczby manifestów ani ich łącznego rozmiaru przed wczytaniem do pamięci. Uwierzytelniony użytkownik z uprawnieniem publikowania pakietów może przesłać silnie skompresowane archiwum z wieloma manifestami, powodując alokacje znacznie większe niż przesłane archiwum.

Gitea parsuje przesłane pakiety Alpine przed egzekwowaniem kwot rozmiaru pakietów i nie ogranicza zdekompresowanych danych .PKGINFO ani liczby wpisów zależności i provides. Uwierzytelniony użytkownik z uprawnieniem publikowania pakietów może przesłać małe, silnie skompresowane archiwum powodujące nieproporcjonalnie duże alokacje pamięci podczas parsowania i generowania metadanych.

Wstępne sprawdzanie wersji podczas migracji z GitLab w Gitea używa klienta HTTP bez limitu czasu i nie dołącza kontekstu anulowania zadania migracji. Uwierzytelniony użytkownik mogący rozpoczynać migracje może wskazać kontrolowany przez atakującego serwer, który utrzymuje odpowiedź otwartą w nieskończoność. Żądanie trwa po anulowaniu zadania i może wyczerpać pulę procesów roboczych migracji, uniemożliwiając postęp innym migracjom.

Downloader migracji OneDev w Gitea wczytuje całą odpowiedź zdalnej wersji do pamięci bez limitu rozmiaru i używa klienta bez limitu czasu. Uwierzytelniony użytkownik mogący rozpocząć migrację repozytorium może skierować ją do kontrolowanego przez atakującego serwera zgodnego z OneDev, który zwraca odpowiedź o nadmiernym rozmiarze lub nigdy się nie kończącą.

API łączenia zespołów z repozytorium w Gitea pozwala administratorowi repozytorium, który nie jest właścicielem organizacji, przypinać zespoły organizacji do repozytorium mimo wyłączonego RepoAdminChangeTeamAccess. Endpoint nie egzekwuje ograniczenia organizacji dotyczącego zmiany dostępu zespołów przez administratorów repozytorium.

Renderer notatników Jupyter w Gitea wstawia metadane language_info.name notatnika do atrybutu klasy CSS, wyłączając sanityzację i renderując bezpośrednio w głównym dokumencie bez piaskownicy iframe. Złośliwy notatnik w repozytorium może dostarczyć wiele klas CSS tworzących nakładkę zasłaniającą widok i przechwytującą kliknięcia, gdy inny użytkownik go wyświetla. Zgłoszony wpływ to UI redress; wykonanie skryptu nie zostało wykazane.

Renderer znaczników Org-mode w Gitea przetwarza dyrektywy INCLUDE dostarczone do punktu końcowego znaczników repozytorium bez zapobiegania dostępowi do plików po stronie serwera. Niezautoryzowany atakujący może użyć publicznego repozytorium do odczytu plików dostępnych dla konta usługi Gitea. Jeśli ujawnione pliki zawierają app.ini i INTERNAL_TOKEN, atakujący może zmodyfikować hook Git i wykonać polecenia jako konto usługi Gitea.

Endpointy API ulubionych repozytoriów i śledzonego czasu w Gitea nie sprawdzają ponownie bieżących uprawnień do repozytorium przed zwróceniem danych powiązanych z żądającym użytkownikiem. Użytkownik, któremu odebrano dostęp do prywatnego repozytorium, może nadal pobierać metadane repozytorium przez /api/v1/user/starred oraz tytuły prywatnych zgłoszeń przez /api/v1/user/times.

Podatność w util-linux w wersjach 2.17 do 2.41.6, 2.42 do 2.42.3 oraz 2.42.4 gdy używana jest legacy ścieżka mount(2) bez /proc. Ograniczone żądania mount od nie-roota walidują cel /etc/fstab przed ponownym rozwiązywaniem ścieżki. Lokalny użytkownik z niskimi uprawnieniami, autoryzowany przez wpis fstab z opcją user lub users, może użyć renameat2(RENAME_EXCHANGE) do podmiany komponentu ścieżki i przekierować autoryzowany mount do lokalizacji należącej do roota, np. montując zawartość kontrolowaną przez atakującego nad /etc/sudoers.d, uzyskując uprawnienia roota.

Podatność w util-linux w wersjach 2.39 do 2.41.4 oraz 2.42 do 2.42.1. SUID mount utility w hook_owner.c wykonuje operacje chmod() i lchown() oparte na ścieżce na wcześniej zwalidowanym celu montowania. Lokalny użytkownik z niskimi uprawnieniami, autoryzowany przez wpis /etc/fstab z opcją user lub users oraz opcją X-mount.mode, X-mount.owner lub X-mount.group, może użyć renameat2(RENAME_EXCHANGE) do wyścigu z zapisywalnym przodkiem celu i przekierować uprzywilejowaną zmianę właściciela lub trybu do ścieżki należącej do roota, potencjalnie uzyskując uprawnienia roota.

Gdy włączone jest logowanie OpenID, Gitea przyjmuje podany przez użytkownika adres URL OpenID i wykonuje żądania discovery bez walidacji miejsca docelowego względem adresów sieci wewnętrznej. Nieuwierzytelniony zdalny atakujący może spowodować, że serwer połączy się z usługami HTTP na interfejsie loopback lub w sieci prywatnej.

Podatność w NGINX Plus i NGINX Open Source, gdy lokalizacja używa dyrektywy alias wraz z rewrite oraz set lub return odwołującym się do zmiennej $request_filename. Alternatywnie, ten sam efekt można osiągnąć, gdy $request_filename jest używany w dyrektywie formatu logu dostępu. Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie sterty w procesie roboczym NGINX, co prowadzi do restartu lub potencjalnie wykonania kodu.

Pakiet Python thumbnail do wersji 1.5 zawiera podatność wstrzyknięcia poleceń systemowych w funkcji generate_thumbnail(), która pozwala atakującym na wykonanie poleceń przez dostarczenie znaków metaznaków powłoki w ścieżkach plików. Atakujący kontrolujący nazwę pliku przekazaną do generate_thumbnail może wstrzyknąć polecenia do wywołań os.system() uruchamiających ffmpeg, convert lub unoconv z uprawnieniami procesu Python.