CVE-2026-57897

Gitea (لم يتم تحديد الإصدارات المتأثرة)

توجد مشكلة في التفويض في نقاط نهاية REST الخاصة بـ ”الإجراءات“ على مستوى المؤسسة. لا تتحقق نقاط النهاية /api/v1/orgs/{org}/actions/runs و/api/v1/orgs/{org}/actions/jobs إلا من عضوية المؤسسة وصلاحية الرمز المميز، ولا تقوم بإجراء فحوصات قائمة التحكم في الوصول (ACL) لكل مستودع على حدة. ونتيجة لذلك، يمكن لأي عضو معتمد في المنظمة حصر عمليات تشغيل سير العمل والمهام من كل مستودع داخل تلك المنظمة، بما في ذلك المستودعات الخاصة التي لا يمتلك المستخدم حق الوصول الصريح إليها أو التي رُفضت أذوناته فيها.

تسمح هذه الثغرة للمهاجم باستخدام نقاط النهاية كأداة بحث لجمع البيانات الوصفية الحساسة من المستودعات الخاصة، مثل أسماء المستودعات، والأوصاف، وعناوين URL للنسخ، ورموز SHA للالتزامات، وأسماء الفروع، وأسماء ملفات سير العمل، ورسائل الالتزامات، وهويات المساهمين. ويمكن أن يؤدي ذلك إلى استطلاع المعلومات الخاصة بالمؤسسة، وكشف خطط المنتجات، أو فترات إصلاح الثغرات الأمنية، أو هياكل المشاريع الداخلية.

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.