PT-2026-63275

CVE-2026-23603

تاريخ النشر

2026-07-13

تاريخ التحديث

2026-08-26

الوصف من

CVSS 3.1

3.1

منخفضة

المقاييسAV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

Gitea (لم يتم تحديد الإصدارات المتأثرة)

الوصف

توجد ثغرة ”تزوير الطلبات من جانب الخادم“ (SSRF) غير المباشرة عند تمكين الإعداد [oauth2 client] UPDATE AVATAR = true. تحدث هذه المشكلة لأن الخادم يسترد عنوان URL الخاص بالصورة الرمزية المقدم من مزود OAuth2/OIDC — وعادةً ما يكون المطالبة picture — باستخدام عميل Go HTTP الافتراضي دون تطبيق قيود على المضيف الصادر أو عنوان IP. يمكن للمستخدم ذي الامتيازات المنخفضة الذي يمكنه التأثير على مطالبة picture الخاصة به أن يجبر خادم Gitea على إرسال طلبات HTTP GET صادرة عشوائية إلى عناوين loopback، وعناوين الشبكات الخاصة وفقًا لمعيار RFC 1918، وعناوين IPv4 المحلية للرابط مثل 169.254.169.254.

تشمل التفاصيل الفنية ما يلي:

الوظيفة المعرضة للخطر: oauth2UpdateAvatarIfNeed() في routers/web/auth/oauth.go وoauth2SignInSync() في routers/web/auth/oauth signin sync.go.
المتغير المعرض للخطر: gothUser.AvatarURL.

على الرغم من أن هذه المشكلة تُعتبر في الأساس «عمياء» (blind) نظرًا لرفض الاستجابات التي لا تحتوي على صور، إلا أن تأثيرها يزداد إذا تمكن الخادم من الوصول إلى خدمات البيانات الوصفية السحابية أو الخدمات الداخلية التي تُرجع بيانات صور صالحة، والتي يمكن بعد ذلك تخزينها كصورة رمزية للمستخدم.

التوصيات

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

كحل مؤقت، قم بتعطيل ميزة مزامنة الصورة الرمزية عن طريق تعيين UPDATE AVATAR = false في قسم [oauth2 client] من ملف التكوين.

قابلية الاستغلال

استغلال

التأثيرات

الباحثون