Babakizo420

**Nome do Software Vulnerável e Versões Afetadas** Gitea versões anteriores a 1.26.3 **Descrição** Os endpoints de feed RSS e Atom de repositórios ignoram as verificações de escopo do token de acesso à API. Isso permite que tokens que não possuem o escopo de repositório necessário acessem dados de commit de repositórios privados. **Recomendações** Atualize o Gitea para a versão 1.26.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** File Browser versões anteriores a 2.63.16 **Description** Um usuário não administrador com escopo limitado e apenas permissões de Criação pode excluir arquivos arbitrários fora de seu escopo atribuído, incluindo dados de outros locatários e o banco de dados do aplicativo. Isso ocorre durante o processo de limpeza de falha de upload no manipulador de upload direto. O problema deriva da função `ScopedFs.RemoveAll()`, que não aplica a guarda de link simbólico (symlink guard) utilizada por outros métodos. Se um link simbólico de diretório que escape do escopo já existir dentro do diretório do usuário, um usuário autenticado pode disparar uma falha de upload para executar `ScopedFs.RemoveAll()` em um caminho controlado pelo usuário, ignorando tanto o limite do ScopedFs quanto a exigência de permissão de exclusão. **Recommendations** Atualize o File Browser para a versão 2.63.16.