CVE-2026-58437

Gitea (لم يتم تحديد الإصدارات المتأثرة)

يحتوي Gitea على مشكلة تتمثل في أن معالج خطاف git post-receive يعالج خيارات git push بشكل غير صحيح في المستودعات الموجودة. يمكن للمستخدمين الذين يتمتعون بحقوق الوصول كمالك أو مسؤول متعاون استخدام خيارات الدفع غير الموثقة repo.private وrepo.template أثناء تنفيذ git push لتبديل حالة رؤية المستودع بين خاص وعام أو تغيير حالة القالب الخاص به. تحدث هذه العملية داخل الدالة HookPostReceive() في الملف routers/private/hook post receive.go.

يتجاوز هذا الإجراء الضوابط الأمنية القياسية والتتبع الإداري، مما يؤدي إلى عدم وجود إدخالات في سجلات تدقيق المستودع أو سجلات الأنشطة، وعدم وجود أحداث webhook، وعدم وجود إخطارات على مستوى المؤسسة، وعدم وجود تنبيهات عبر البريد الإلكتروني للمتابعين. بالإضافة إلى ذلك، يؤدي استخدام الدالة UpdateRepositoryColsNoAutoTime إلى إخفاء الطابع الزمني updated at، مما يجعل من الصعب اكتشاف التغيير. وقد يسمح ذلك لتهديد داخلي بجعل مستودع خاص عامًا مؤقتًا من أجل تسريب البيانات أو التلاعب بصمت بقوالب المستودع للتأثير على مسارات CI/CD اللاحقة.

كإجراء تخفيفي مؤقت، قم بتقييد وصول «المسؤول-المتعاون» على المستخدمين الموثوق بهم فقط لمنع التغييرات غير المصرح بها في مستوى الرؤية.

قم بإزالة الخيارين repo.private وrepo.template من خطاف ما بعد الاستلام (post-receive hook) للمستودعات الحالية، مع ضمان معالجتهما فقط أثناء تدفق «الدفع لإنشاء» (push-to-create).

أو بدلاً من ذلك، قم بتعديل