Jebeenlee

Em organizações onde a configuração de quem pode visualizar todos os outros usuários restringe os convidados de visualizar outros usuários, a ação de salvar ou editar um rascunho de mensagem direta não verifica se o remetente tem permissão para acessar os destinatários do rascunho. Isso permite que um convidado obtenha informações de perfil de usuários restritos sem enviar uma mensagem.

Existe uma falha que permite ignorar o escopo `public-only` de Tokens de Acesso Pessoal (PAT) quando a visibilidade do proprietário está configurada como Limited (interna da instância). Enquanto outras categorias de escopo rejeitam corretamente proprietários com visibilidade Limited, as categorias de Repositório e Pacote verificam apenas se o recurso é privado, não considerando a visibilidade Limited. Isso permite que um token com escopo `public-only` acesse conteúdos que deveriam ser restritos a usuários internos, excedendo o alcance de um usuário anônimo. Detalhes técnicos incluem as seguintes áreas afetadas: - **API Endpoints:** Pacotes da API v1, todos os 24 registros de pacotes nativos via `/api/packages/<type>/...`, todos os endpoints de categoria de Repositório da API v1 (incluindo conteúdo, issues, PRs, releases, labels e milestones), e endpoints de download web como `/raw`, `/media` e `/attachments`, além de rotas LFS. - **Vulnerable Parameters or Variables:** escopo de PAT `public-only`. - **Function Names:** `checkTokenPublicOnly()`, `reqPackageAccess()`, `TokenCanAccessRepo()` e `CheckTokenScopes()`.

Três caminhos de código ignoram as proteções existentes contra Server-Side Request Forgery (SSRF) ao utilizar `http.Get()` bruto em vez do discador validado `hostmatcher.NewDialContext()`. Isso permite que um invasor faça requisições a serviços internos, escaneie redes internas (como `127.0.0.1`, `10.x`, `172.16-31.x` e `192.168.x`) e roube metadados de nuvem de endpoints como `169.254.169.254` (por exemplo, credenciais AWS IMDSv1 ou tokens GCP). Além disso, o uso do esquema `file://` na função `Open()` permite a leitura de arquivos locais, expondo potencialmente arquivos sensíveis como `/etc/gitea/app.ini`, que podem conter credenciais de banco de dados e segredos de assinatura JWT. O problema afeta os seguintes componentes: - A função `Open()` em `modules/uri/uri.go`. - Downloads de ativos de release e patches de PR em `services/migrations/gitea uploader.go` e `services/migrations/dump.go`. - A função `oauth2UpdateAvatarIfNeed()` em `routers/web/auth/oauth.go`.

Um problema de Negação de Serviço ocorre ao utilizar diskStorage. Uploads multipart abortados ou malformados deixam arquivos parciais órfãos no disco porque a chamada `Readable.pipe()` não propaga o sinal de destruição do fluxo para o `fs.WriteStream` subjacente. Isso permite que um invasor esgote o espaço em disco disparando inúmeros uploads abortados.