CVE-2026-58435

Gitea الإصدار 1.25.5

توجد مشكلة تتعلق بعدم كفاية التفويض في خادم LFS، حيث يستخدم النظام UserID المضمن في LFS JWT لاتخاذ قرارات التفويض عبر المستودعات باستخدام الدالة LFSObjectAccessible(). وعند استخدام مفتاح النشر للمصادقة، يقوم النظام بشكل خاطئ بتعيين UserID إلى معرّف مالك المستودع بدلاً من الهوية التي تمثل مفتاح النشر. وهذا يسمح للمهاجم الذي يمتلك مفتاح نشر للكتابة لأي مستودع فردي يملكه الضحية بالحصول على JWT ينتحل صفة الضحية. ونتيجة لذلك، يمكن للمهاجم استخراج كائنات LFS من أي مستودع خاص يملكه الضحية، شريطة أن يعرف المهاجم معرّف SHA-256 (OID) للكائن المستهدف. إذا كان الضحية مسؤول موقع، فقد يصبح من الممكن الوصول إلى جميع كائنات LFS الموجودة على مثيل Gitea. يمكن الوصول إلى هذه المشكلة عبر أمر SSH git-lfs-authenticate ونقطة نهاية واجهة برمجة تطبيقات (API) LFS الدفعية عبر HTTP /info/lfs/objects/batch عند تمكين LFS START SERVER.

بالنسبة للإصدار 1.25.5، قم بإزالة الاختصار عبر المستودعات LFSObjectAccessible الموجود في services/lfs/server.go لفرض اشتراط إثبات الملكية لأي كائن لم يتم ربطه بعد بالمستودع المستهدف.

بالنسبة للإصدار 1.25.5، قم بتعديل ملف routers/private/serv.go لإيقاف تضمين repo.OwnerID في JWT لمفاتيح النشر، واستخدم بدلاً من ذلك كيانًا اصطناعيًا أو نوع JWT على نطاق المستودع.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة نهاية واجهة برمجة تطبيقات LFS الدفعية