CVE-2026-58438

إصدارات Gitea السابقة للإصدار 1.26.5

توجد مشكلة في التحكم في الوصول في الدالة RemoveDependency الموجودة في ملف routers/web/repo/issue dependency.go. تعالج هذه الدالة معلمة النموذج removeDependencyID لتحديد وإزالة تبعية مشكلة باستخدام issues model.GetIssueByID(ctx, depID) دون إجراء الفحوصات اللازمة للمستودع أو الأذونات. وهذا يسمح للمهاجم الذي يمتلك حق الكتابة على المشكلات في مستودع ما بإزالة رابط التبعية لمشكلة في مستودع خاص آخر وإدراج تعليق في ذلك المستودع الخاص، حتى لو لم يكن لديه حق القراءة فيه. وتُعرف هذه المشكلة باسم «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR)، والتي تحدث عندما يوفر التطبيق وصولاً مباشراً إلى الكائنات بناءً على المدخلات التي يقدمها المستخدم دون الحصول على التفويض الكافي.

قم بتحديث Gitea إلى الإصدار 1.26.5 أو أحدث.

كإجراء تخفيفي مؤقت، قم بتقييد استخدام المعلمة removeDependencyID في نقطة النهاية /owner/repo/issues/N/dependency/delete على المستخدمين المصرح لهم فقط.