توجد ثغرة ”تزوير الطلبات من جانب الخادم“ (SSRF) غير المباشرة عند تمكين الإعداد `[oauth2 client] UPDATE AVATAR = true`. تحدث هذه المشكلة لأن الخادم يسترد عنوان URL الخاص بالصورة الرمزية المقدم من مزود OAuth2/OIDC — وعادةً ما يكون المطالبة `picture` — باستخدام عميل Go HTTP الافتراضي دون تطبيق قيود على المضيف الصادر أو عنوان IP. يمكن للمستخدم ذي الامتيازات المنخفضة الذي يمكنه التأثير على مطالبة `picture` الخاصة به أن يجبر خادم Gitea على إرسال طلبات HTTP GET صادرة عشوائية إلى عناوين loopback، وعناوين الشبكات الخاصة وفقًا لمعيار RFC 1918، وعناوين IPv4 المحلية للرابط مثل `169.254.169.254`.
تشمل التفاصيل الفنية ما يلي:
- **الوظيفة المعرضة للخطر**: `oauth2UpdateAvatarIfNeed()` في `routers/web/auth/oauth.go` و`oauth2SignInSync()` في `routers/web/auth/oauth signin sync.go`.
- **المتغير المعرض للخطر**: `gothUser.AvatarURL`.
على الرغم من أن هذه المشكلة تُعتبر في الأساس «عمياء» (blind) نظرًا لرفض الاستجابات التي لا تحتوي على صور، إلا أن تأثيرها يزداد إذا تمكن الخادم من الوصول إلى خدمات البيانات الوصفية السحابية أو الخدمات الداخلية التي تُرجع بيانات صور صالحة، والتي يمكن بعد ذلك تخزينها كصورة رمزية للمستخدم.