PT-2026-63282 · Gitea+1 · Gitea+1

Alecclyde

+1

·

CVE-2026-56443

·

تاريخ النشر

2026-07-13

·

تاريخ التحديث

2026-08-26

CVSS v3.1

9.6

حرجة

المتجهAV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Gitea الإصدار 1.26.2
الوصف
يوجد ثغرة تسمح بتجاوز نطاق رمز الوصول الشخصي (PAT) public-only عندما تكون إعدادات الرؤية الخاصة بالمالك مضبوطة على «محدودة» (داخل المثيل). في حين أن فئات النطاق الأخرى ترفض بشكل صحيح المالكين ذوي الرؤية ”محدودة“، فإن فئتي ’المستودع‘ و”الحزمة“ تتحققان فقط مما إذا كان المورد خاصًا، دون مراعاة الرؤية ”المحدودة“. وهذا يسمح لرمز الوصول ذي نطاق public-only بالوصول إلى المحتوى الذي ينبغي أن يقتصر على المستخدمين الداخليين، متجاوزًا نطاق وصول المستخدم المجهول.
تشمل التفاصيل الفنية المجالات المتأثرة التالية:
  • نقاط نهاية واجهة برمجة التطبيقات (API): حزم API v1، وجميع سجلات الحزم الأصلية البالغ عددها 24 عبر /api/packages/<type>/...، وجميع نقاط نهاية فئة المستودع في API v1 (بما في ذلك المحتوى، والمشكلات، وطلبات السحب، والإصدارات، والتسميات، والمعالم)، ونقاط نهاية التنزيل عبر الويب مثل /raw و/media و/attachments، بالإضافة إلى مسارات LFS.
  • المعلمات أو المتغيرات المعرضة للخطر: نطاق PAT public-only.
  • أسماء الوظائف: checkTokenPublicOnly()، وreqPackageAccess()، وTokenCanAccessRepo()، وCheckTokenScopes().
التوصيات
قم بتحديث Gitea إلى إصدار تم فيه تنفيذ التغييرات التالية:
  • في checkTokenPublicOnly() وreqPackageAccess()، قم بتغيير فحص الرؤية من IsPrivate() إلى !IsPublic() لمالكي الحزم.
  • في TokenCanAccessRepo()، تأكد من أن الفحص يتحقق من أن رؤية مالك المستودع عامة عندما يكون public-only نشطًا.
  • في `CheckTok

استغلال

إصلاح

DoS

Incorrect Authorization

Improper Access Control

وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
dbugs@ptsecurity.com

تصنيف نقاط الضعف

CWE-863CWE-284

المعرّفات ذات الصلة

BDU:2026-15832
CVE-2026-56443
GHSA-7P4H-3GXQ-X3H3
GO-2026-6045
OPENSUSE-SU-2026:21483-1

المنتجات المتأثرة

Gitea
Red Os