CVE-2026-116474

اسم البرنامج المتأثر والإصدارات المتأثرة Gitea (إصدارات متأثرة غير محددة)

الوصف يوجد خلل حيث يتم مصادقة GITEA TOKEN المستخدم في مهام Gitea Actions كمستخدم نظام gitea-actions. كانت نقاط نهاية البريد الإلكتروني ومفاتيح GPG في /api/v1/user تقبل مستخدم النظام هذا بشكل خاطئ، مما يسمح للمهمة بتسجيل عنوان بريد إلكتروني ومفتاح GPG. وبما أن تأكيد البريد الإلكتروني غير مطلوب افتراضيًا، يتم تخزين العنوان كنشط. تعامل عملية التحقق من الالتزام (commit verification) المفتاح الذي ليس له مالك حقيقي على أنه مفتاح توقيع للمثيل (instance signing key)، مما يمكن أي مستخدم قادر على تشغيل مهمة سير عمل من جعل الالتزامات الموقعة بمفتاحه الخاص تظهر كموثوقة وموقعة من قبل المثيل في جميع المستودعات، بما في ذلك طلبات السحب (pull requests) للمستودعات التي لا يملك المستخدم صلاحية الكتابة فيها. يقتصر التأثير على حالة التوقيع المعروضة؛ حيث أن آليات الإنفاذ، مثل الالتزامات الموقعة المطلوبة، تتحقق فقط من أن التوقيع صالح ولا تتأثر، ولا يتم منح أي وصول غير مصرح به.

التوصيات في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.