PT-2026-65725
CVE-2026-60004
·
تاريخ النشر
2026-07-28
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 2.0
10
حرجةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Gitea السابقة للإصدار 1.27.1
الوصف
يوجد ثغرة في حقن الكود في الملف
services/repository/files/patch.go بسبب سوء إدارة عملية إنشاء الكود. تتيح هذه الثغرة لمهاجم عن بُعد يتمتع بحق الوصول للكتابة في المستودع زرع «Git hook» ضار وتنفيذ أوامر شل تعسفية بصفتِ حساب خدمة Gitea. في الإعدادات الافتراضية التي يتم فيها تمكين تسجيل المستخدمين، يمكن للجهات الخارجية التسجيل وإنشاء مستودع والحصول على حق الوصول للكتابة اللازم لاستغلال الثغرة. هناك أدلة على وجود استغلال نشط لهذه الثغرة في الواقع، بما في ذلك حوادث تم فيها استخدام الثغرة لنشر برامج تعدين العملات المشفرة، مما أدى إلى زيادة كبيرة في حمل وحدة المعالجة المركزية (CPU).التوصيات
الترقية إلى الإصدار 1.27.1 أو أحدث.
تعطيل تسجيل المستخدمين لمنع الجهات الخارجية غير المصرح لها من إنشاء مستودعات والحصول على حق الوصول للكتابة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾