CVE-2026-56755

Gitea (الإصدارات المتأثرة غير محددة)

يحتوي محلل سجل حزم Debian على مشكلتين يمكن أن تؤديا إلى رفض خدمة كامل. أولاً، يوجد عيب في فك الضغط غير محدود في الدالة ParseControlFile(). عند معالجة ملف .deb تم تحميله، يقوم المحلل بفك ضغط ملف control.tar.gz ونسخ الدفق إلى strings.Builder دون تحديد حجم البيانات التي يتم قراءتها. يمكن للمهاجم استخدام «قنبلة فك الضغط» — وهي حمولة صغيرة تتوسع إلى حجم هائل — لاستنزاف ذاكرة الخادم. ثانياً، يستخدم المحلل علامة += لتسلسل السلاسل عند معالجة أسطر الاستمرار في حقل الوصف (Description)، مما يؤدي إلى عمليات تخصيص ونسخ من الدرجة O(N²). وهذا قد يؤدي إلى إرهاق وحدة المعالجة المركزية (CPU) وإطلاق دورات متكررة لجمع القمامة. يمكن لأي مستخدم معتمد يتمتع بحق الكتابة في سجل الحزم أن يثير هذه المشكلات عبر طلب موجه إلى المعالج في routers/api/packages/debian/debian.go:146.

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.