Eddieran

**Nome do Software Vulnerável e Versões Afetadas** Gitea versões 1.25.4 até 2026-05-16 **Description** Quando um repositório público é alterado para privado via API REST, os registros de observação (watches) não são limpos corretamente. Isso ocorre porque a função `updateRepository()`, utilizada pelo endpoint `PATCH /api/v1/repos/{owner}/{repo}`, não chama a função `ClearRepoWatches`, diferentemente do caminho utilizado pela interface web. Consequentemente, usuários cujo acesso foi revogado ainda podem visualizar o repositório agora privado no endpoint `GET /api/v1/user/subscriptions?private=true`, expondo metadados sensíveis como a descrição do repositório, branch padrão, linguagem e lista de licenças. Além disso, este problema permite que o contador `NumWatches` permaneça inflacionado e cria um potencial de vazamento de conteúdo através de futuros caminhos de notificação que possam carecer de verificações de acesso adequadas. **Recommendations** Na função `updateRepository()` em `services/repository/repository.go`, adicione uma chamada para `ClearRepoWatches` imediatamente após `ClearRepoStars` quando um repositório for definido como privado. Como mitigação temporária, evite usar o endpoint `PATCH /api/v1/repos/{owner}/{repo}` para alterar a visibilidade do repositório para privado e utilize as Configurações da interface web.

**Nome do Software Vulnerável e Versões Afetadas** NocoDB versões anteriores a 2026.05.1 **Descrição** Uma falha no fluxo de troca de tokens permite que duas solicitações simultâneas usando o mesmo código de autorização OAuth gerem cada uma um par válido e distinto de `access token` e `refresh token`. Isso ocorre porque o sistema anteriormente lia o status `is used` e realizava a atualização `markAsUsed` de forma incondicional ao final do processo, violando a garantia de uso único do PKCE (Proof Key for Code Exchange), uma extensão de segurança para OAuth 2.0. Um invasor que observe um código de autorização e o verificador PKCE correspondente poderá obter um token de atualização de longa duração juntamente com o usuário legítimo. **Recomendações** Atualize para a versão 2026.05.1.