PT-2026-63316
CVE-2026-59766
·
تاريخ النشر
2026-07-13
·
تاريخ التحديث
2026-10-14
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Gitea الإصدار 1.25.4
الوصف
تسمح ثغرة أمنية للمستخدمين الذين تم إلغاء صلاحيات وصولهم بمواصلة الوصول إلى المعلومات الخاصة عبر نقاط نهاية محددة. يمكن لأي متعاون سابق حصر المستودعات الخاصة التي كان قد وضع علامة نجمة عليها سابقًا وقراءة عناوين المشكلات الخاصة التي سجل وقتًا في العمل عليها. يحدث هذا لأن النظام يفشل في إعادة التحقق من صلاحيات الوصول إلى المستودع عند عرض البيانات.
نقاط نهاية واجهة برمجة التطبيقات (API):
-
’/api/v1/user/starred‘
-
’/api/v1/user/times‘
أسماء الوظائف:
-
getStarredRepos() -
ListMyTrackedTimes() -
LoadAttributes
التوصيات
بالنسبة لإصدار Gitea 1.25.4:
-
تعديل
getStarredRepos()لإزالة أو حجب المستودعات التي لا يمتلك المستدعي حق الوصول إليها حاليًا. -
تحديث
ListMyTrackedTimes()لتصفية إدخالات الأوقات المتتبعة بناءً على حق الوصول الحالي للمستخدم إلى المستودع. -
كإجراء تخفيفي مؤقت، تقييد الوصول إلى نقاط النهاية ’/api/v1/user/starred‘ و ’/api/v1/user/times‘ للمستخدمين الذين تم إلغاء أذوناتهم.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾