CVE-2026-58440

Gitea الإصدار 1.25.4

يوجد عيب يتمثل في استمرار تشغيل الويب هوكس التي أنشأها أحد المتعاونين الذي يتمتع بصلاحيات إدارية على مستودع خاص، حتى بعد إلغاء صلاحيات الوصول الخاصة بهذا المتعاون. تقوم الدالة DeleteCollaboration() الموجودة في ملف services/repository/collaboration.go بإزالة سجلات التعاون، وإعادة حساب صلاحيات الوصول، وإلغاء المراقبة، وإلغاء تخصيص المشكلات، لكنها تفشل في إزالة أو تعطيل الويب هوكس التي أنشأها ذلك المستخدم. علاوة على ذلك، لا تعيد عملية توصيل webhooks التحقق مما إذا كان المنشئ لا يزال يتمتع بحق الوصول إلى المستودع. وهذا يسمح للمتعاون السابق بتلقي الحمولات الكاملة لأحداث المستودع المستقبلية، بما في ذلك نصوص المشكلات والتعليقات وبيانات الالتزامات، على نقطة النهاية التي يتحكم فيها إلى أجل غير مسمى وبشكل غير مرئي.

تحديث Gitea إلى إصدار يتم فيه تحديث دالة DeleteCollaboration() لحذف أو تعطيل الـ webhooks التي أنشأها المتعاون الذي تمت إزالته، أو نقل ملكية تلك الـ webhooks إلى مالك المستودع.

تنفيذ فحص إعادة التحقق من وصول المنشئ الحالي إلى المستودع قبل كل عملية تسليم لـ webhook.

كإجراء تخفيفي مؤقت، قم يدويًّا بمراجعة وإزالة الـ webhooks التي أنشأها المستخدمون الذين تم إلغاء وصولهم.