PT-2026-43391
CVE-2026-27771
·
تاريخ النشر
2026-04-19
·
تاريخ التحديث
2026-09-29
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Gitea الأقدم من 1.26.2
إصدارات Forgejo الأقدم من 1.26.2
الوصف
يوجد ثغرة في التحكم في الوصول في سجل الحاويات ومعالجة حزم Composer. تسمح هذه المشكلة للمهاجمين عن بُعد غير المصادق عليهم بسحب صور الحاويات الخاصة وعرض روابط مصادر حزم Composer الخاصة أو الداخلية. يحدث ذلك لأن النظام يفشل في تطبيق علامة الخصوصية بشكل صحيح ويفتقر إلى عمليات التحقق الكافية من الأذونات عند عرض أو تقديم بيانات تعريف مصدر الحزم. يمكن للمهاجم استغلال هذه الثغرة عن طريق الاستعلام عن نقاط نهاية حزم Composer أو إرسال طلبات سحب Docker/OCI قياسية مجهولة الهوية إلى واجهة برمجة تطبيقات السجل. استمرت هذه الثغرة لمدة أربع سنوات تقريبًا، ومن المحتمل أن تؤثر على أكثر من 30,000 عملية نشر حول العالم، بما في ذلك ما يقرب من 4,000 نظام إنتاج على منصات السحابة الرئيسية. قد يؤدي الكشف عن هذه البيانات إلى إفشاء معلومات حساسة، مثل شفرة المصدر والأسرار وتفاصيل البنية التحتية الداخلية.
التوصيات
تحديث Gitea إلى الإصدار 1.26.2.
تحديث Forgejo إلى الإصدار 1.26.2.
كحل مؤقت، قم بتمكين إعداد التكوين
REQUIRE SIGNIN VIEW لفرض المصادقة على جميع عمليات الوصول إلى المحتوى.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾