CVE-2026-58432

Gitea (لم يتم تحديد الإصدارات المتأثرة)

يوجد ثغرة في تجاوز عملية المصادقة في نقاط نهاية المرفقات على مستوى الويب، حيث لا يتم تطبيق ضوابط الوصول على الإصدارات الأولية. في حين أن نقاط نهاية واجهة برمجة التطبيقات (API) تقصر الوصول إلى الإصدارات الأولية بشكل صحيح على المستخدمين الذين يمتلكون أذونات الكتابة، فإن معالج جانب الويب ServeAttachment() يتحقق فقط من أذونات القراءة على مستوى المستودع. وهذا يسمح لأي مستخدم، بما في ذلك المتصلون المجهولون غير المصادق عليهم، بتنزيل المحتوى الكامل للمرفق إذا حصلوا على معرّف UUID الخاص به.

تؤثر هذه المشكلة على نقاط النهاية التالية:

يمكن استغلال هذه الثغرة الأمنية في حالة تسرب معرّف UUID عبر قنوات جانبية مثل سجل المتصفح، أو سجلات الخادم، أو البريد الإلكتروني، أو الروابط العامة. وقد يؤدي ذلك إلى الكشف عن معلومات حساسة، بما في ذلك الملفات الثنائية قبل الإصدار، أو الإصلاحات الأمنية المقترحة، أو قوائم مكونات البرمجيات الداخلية (SBOM)، أو مسودات ملاحظات الإصدار.

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى دالة ServeAttachment() أو نقاط النهاية الويب المتأثرة على المستخدمين المصرح لهم فقط.