Prakhar0X01

**Nome do Software Vulnerável e Versões Afetadas** Gitea (versões afetadas não especificadas) **Description** Um Server-Side Request Forgery (SSRF) cego existe quando a configuração `[oauth2 client] UPDATE AVATAR = true` está habilitada. O problema ocorre porque o servidor busca a URL do avatar fornecida por um provedor OAuth2/OIDC — geralmente a claim `picture` — usando o cliente HTTP padrão do Go sem aplicar restrições de host ou IP de saída. Um usuário com baixos privilégios que consiga influenciar sua própria claim `picture` pode forçar o servidor Gitea a fazer requisições HTTP GET arbitrárias para endereços de loopback, endereços de rede privada RFC 1918 e endereços link-local IPv4, como `169.254.169.254`. Detalhes técnicos incluem: - **Função Vulnerável**: `oauth2UpdateAvatarIfNeed()` em `routers/web/auth/oauth.go` e `oauth2SignInSync()` em `routers/web/auth/oauth signin sync.go`. - **Variável Vulnerável**: `gothUser.AvatarURL`. Embora o problema seja primariamente cego, pois respostas que não sejam imagens são rejeitadas, o impacto aumenta se o servidor conseguir alcançar serviços de metadados de nuvem ou serviços internos que retornem dados de imagem válidos, que poderiam então ser armazenados como o avatar do usuário. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, desabilite o recurso de sincronização de avatar definindo `UPDATE AVATAR = false` na seção `[oauth2 client]` da configuração.

**Nome do Software Vulnerável e Versões Afetadas** Gitea (versões afetadas não especificadas) **Description** Um problema de autorização existe nos endpoints REST de Actions ao nível da organização. Os endpoints `/api/v1/orgs/{org}/actions/runs` e `/api/v1/orgs/{org}/actions/jobs` verificam apenas a associação à organização e a validade do token, falhando em realizar verificações de Lista de Controle de Acesso (ACL) por repositório. Consequentemente, qualquer membro autenticado de uma organização pode enumerar execuções e tarefas de fluxo de trabalho de todos os repositórios naquela organização, incluindo repositórios privados para os quais o usuário não possui acesso explícito ou teve permissões negadas. Esta falha permite que um invasor utilize os endpoints como um oráculo de pesquisa para coletar metadados sensíveis de repositórios privados, como nomes de repositórios, descrições, URLs de clonagem, SHAs de commit, nomes de branches, nomes de arquivos de fluxo de trabalho, mensagens de commit e identidades de contribuidores. Isso pode levar ao reconhecimento da organização, revelando planos de produtos, janelas de correções de segurança ou topologias de projetos internos. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Gitea (versões afetadas não especificadas) **Description** O Gitea apresenta um problema onde o manipulador de hook git post-receive processa incorretamente as opções de push do git em repositórios existentes. Usuários com acesso de proprietário ou colaborador administrador podem usar as opções de push não documentadas `repo.private` e `repo.template` durante um `git push` para alternar a visibilidade de um repositório entre privado e público ou alterar seu status de template. Este processo ocorre dentro da função `HookPostReceive()` no arquivo `routers/private/hook post receive.go`. Esta ação ignora os controles de segurança padrão e o rastreamento administrativo, resultando na ausência de entradas nos logs de auditoria ou atividade do repositório, sem eventos de webhook, sem notificações em nível de organização e sem alertas de e-mail para observadores. Além disso, o uso da função `UpdateRepositoryColsNoAutoTime` suprime o carimbo de data/hora `updated at`, tornando a alteração difícil de detectar. Isso pode permitir que uma ameaça interna torne um repositório privado público temporariamente para exfiltração de dados ou manipule silenciosamente templates de repositórios para afetar pipelines de CI/CD downstream. **Recommendations** Como mitigação temporária, restrinja o acesso de colaborador administrador apenas a usuários confiáveis para evitar alterações de visibilidade não autorizadas. Remova as opções `repo.private` e `repo.template` do hook post-receive para repositórios existentes, garantindo que sejam processadas apenas durante o fluxo de criação via push (push-to-create). Alternativamente, modifique o código para rotear as alterações de visibilidade através do serviço completo de alteração de visibilidade para garantir que eventos de auditoria, webhooks e ressincronizações de equipe sejam disparados corretamente.

**Nome do Software Vulnerável e Versões Afetadas** Gitea (versões afetadas não especificadas) **Descrição** O Gitea contém um problema de divulgação de informações onde solicitações contendo o parâmetro de consulta `go-get` com o valor `1` ignoram as verificações de autenticação e autorização. Este comportamento é acionado nas funções `httpBase()` e `EarlyResponseForGoGetMeta()`. Quando este parâmetro é detectado no caminho de um repositório, o sistema retorna uma resposta HTTP 200 contendo tags de metadados, independentemente de o repositório ser privado ou de o usuário estar autenticado. Isso permite que invasores não autenticados confirmem a existência de repositórios privados, enumerem nomes de repositórios privados por meio de força bruta e coletem informações sensíveis, como URLs de clonagem completas, nomes de usuários proprietários e nomes de branches padrão. Isso ocorre porque o sistema foi projetado para fornecer uma solução alternativa para a maneira como a ferramenta Go lida com credenciais, resultando em um endpoint não autenticado para cada repositório. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como medida de mitigação temporária, restrinja o acesso ao parâmetro de consulta `go-get` para repositórios privados ou implemente uma verificação para garantir que a função `EarlyResponseForGoGetMeta()` seja chamada apenas para repositórios públicos ou usuários autenticados com permissões de leitura.

**Nome do Software Vulnerável e Versões Afetadas** O nome do produto não pôde ser determinado (versões afetadas não especificadas) **Descrição** Existe uma falha que permite a ignorar permanentemente a etapa de aprovação do fluxo de trabalho de pull request de fork. Este problema permite que um invasor contorne o processo de aprovação obrigatório ao enviar alterações de um repositório forkado. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.