CVE-2026-58507

Gitea (لم يتم تحديد الإصدارات المتأثرة)

يحتوي Gitea على مشكلة تتعلق بالكشف عن المعلومات، حيث تتجاوز الطلبات التي تحتوي على معلمة الاستعلام go-get بقيمة 1 عمليات التحقق من المصادقة والتفويض. يتم تشغيل هذا السلوك في الدالتين httpBase() وEarlyResponseForGoGetMeta(). عند اكتشاف هذه المعلمة في مسار مستودع، يقوم النظام بإرجاع استجابة HTTP 200 تحتوي على علامات البيانات الوصفية، بغض النظر عما إذا كان المستودع خاصًا أو تم مصادقة المستخدم.

وهذا يسمح للمهاجمين غير المصادق عليهم بالتأكد من وجود مستودعات خاصة، وتعداد أسماء المستودعات الخاصة عبر الهجوم بالقوة الغاشمة، وجمع معلومات حساسة مثل عناوين URL الكاملة للنسخ المتماثل، وأسماء مستخدمي المالكين، وأسماء الفروع الافتراضية. يحدث هذا لأن النظام صُمم لتوفير حل بديل لمعالجة سلسلة أدوات Go لبيانات الاعتماد، مما أدى إلى وجود نقطة نهاية غير مصادق عليها لكل مستودع.

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى معلمة الاستعلام go-get للمستودعات الخاصة أو قم بتنفيذ فحص للتأكد من أن EarlyResponseForGoGetMeta() لا يتم استدعاؤها إلا للمستودعات العامة أو للمستخدمين الذين تمت مصادقتهم والذين يتمتعون بأذونات القراءة.