CVE-2026-58428

Gitea الإصدار 1.26.1

يمكن للمستخدم الذي يمتلك أذونات الكتابة في المستودع تجاوز قائمة الامتدادات المسموح بها عند إعادة تسمية مرفقات الإصدار عبر واجهة الويب. في حين أن نقاط نهاية واجهة برمجة التطبيقات (API) تفرض تقييد Repository.Release.AllowedTypes، فإن معالج الويب EditReleasePost الموجود في routers/web/repo/release.go يفشل في استدعاء دالة upload. Verify() قبل تحديث اسم المرفق في قاعدة البيانات عبر repo model.UpdateAttachmentByUUID(). وهذا يسمح للمهاجم بإعادة تسمية ملف متوافق تم تحميله مسبقًا بامتداد محظور، مثل .exe أو .html أو .svg. ويمكن استغلال ذلك لتوزيع برامج ضارة أو استضافة هجمات البرمجة النصية عبر المواقع (XSS) المخزنة إذا كان الخادم يعرض أنواعًا معينة من الملفات بشكل مضمن.

قم بتحديث Gitea إلى إصدار يتم فيه تحديث دالة UpdateRelease الموجودة في services/release/release.go بحيث تتحقق من أسماء المرفقات الجديدة مقابل قائمة السماح Repository.Release.AllowedTypes باستخدام upload.Verify() قبل حفظ التغييرات.

كإجراء تخفيفي مؤقت، قم بتقييد أذونات الكتابة على المستودعات التي تستخدم قائمة السماح الخاصة بالإصدارات.

كإجراء تخفيفي مؤقت، قم بإزالة قائمة السماح Repository.Release.AllowedTypes للقضاء على إمكانية التحايل، على الرغم من أن هذا يزيل القيود الأمنية المقصودة.