PT-2026-63313
CVE-2026-58511
·
تاريخ النشر
2026-07-13
·
تاريخ التحديث
2026-08-26
الوصف من
CVSS 2.0
3.3
منخفضةالمقاييسAV:N/AC:L/Au:M/C:P/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Gitea (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تقوم الدالة
ToHook() الموجودة في ملف services/webhook/general.go بفك تشفير الحقل HeaderAuthorizationEncrypted وإرجاع رأس التفويض بالنص العادي في استجابة واجهة برمجة التطبيقات (API). وهذا يسمح لمسؤولي المستودعات بقراءة بيانات الاعتماد الحساسة، مثل رموز Bearer وبيانات اعتماد المصادقة الأساسية ومفاتيح واجهة برمجة التطبيقات (API)، التي تم تعيينها من قبل مسؤولين آخرين. تحدث هذه المشكلة لأن الدالة تقوم بفك تشفير السر المخزن في قاعدة البيانات باستخدام SecretKey الخاص بالخادم قبل تسلسله في الاستجابة، مما يؤدي فعليًّا إلى تحويل سر مخصص للكتابة فقط إلى بيانات اعتماد قابلة للقراءة.نقاط نهاية واجهة برمجة التطبيقات (API):
-
’/api/v1/repos/{owner}/{repo}/hooks‘
-
’/api/v1/repos/{owner}/{repo}/hooks/{id}‘
-
’/api/v1/admin/hooks‘
-
'/api/v1/orgs/{org}/hooks'
-
’/api/v1/user/hooks‘
المعلمات أو المتغيرات المعرضة للخطر:
HeaderAuthorizationEncrypted
أسماء الوظائف:
-
ToHook() -
HeaderAuthorization()
التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
كحل مؤقت، قم بتقييد الوصول إلى نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة لتقليل مخاطر الكشف عن بيانات الاعتماد.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾